Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Mastodon (CVE-2024-23832)

Fecha de publicación:

01/02/2024

Idioma:

Español

Mastodon es un servidor de red social gratuito y de código abierto basado en ActivityPub. Mastodon permite la configuración de LDAP para la autenticación. Debido a una validación de origen insuficiente en todos los Mastodon, los atacantes pueden hacerse pasar por cualquier cuenta remota y apoderarse de ella. Todas las versiones de Mastodon anteriores a la 3.5.17 son vulnerables, así como las versiones 4.0.x anteriores a la 4.0.13, la versión 4.1.x anteriores a la 4.1.13 y las versiones 4.2.x anteriores a la 4.2.5.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/02/2024

Vulnerabilidad en Moby (CVE-2024-24557)

Fecha de publicación:

01/02/2024

Idioma:

Español

Moby es un proyecto de código abierto creado por Docker para permitir la contenedorización de software. El sistema de caché del constructor clásico es propenso a envenenar el caché si la imagen se crea DESDE scratch. Además, los cambios en algunas instrucciones (las más importantes son HEALTHCHECK y ONBUILD) no provocarían una pérdida de caché. Un atacante con conocimiento del Dockerfile que alguien está usando podría envenenar su caché al obligarlo a extraer una imagen especialmente manipulada que se consideraría como un candidato de caché válido para algunos pasos de compilación. Los usuarios de 23.0+ solo se ven afectados si optaron explícitamente por no participar en Buildkit (variable de entorno DOCKER_BUILDKIT=0) o si están usando el endpoint API /build. Todos los usuarios con versiones anteriores a la 23.0 podrían verse afectados. El punto final de la API de creación de imágenes (/build) y la función ImageBuild de github.com/docker/docker/client también se ven afectados ya que utiliza el generador clásico de forma predeterminada. Los parches se incluyen en las versiones 24.0.9 y 25.0.2.

Gravedad CVSS v3.1: ALTA

Última modificación:

09/02/2024

Vulnerabilidad en Bref (CVE-2024-24752)

Fecha de publicación:

01/02/2024

Idioma:

Español

Bref habilita PHP sin servidor en AWS Lambda. Cuando se usa Bref con el tiempo de ejecución de la función controlada por eventos y el controlador es "RequestHandlerInterface", el evento Lambda se convierte en un objeto PSR7. Durante el proceso de conversión, si la solicitud es MultiPart, cada parte se analiza y, para cada una de las que contiene un archivo, se extrae y se guarda en `/tmp` con un nombre de archivo aleatorio que comienza con `bref_upload_`. El flujo imita lo que hace el PHP plano pero no elimina los archivos temporales cuando se procesa la solicitud. Un atacante podría llenar el disco de la instancia de Lambda realizando múltiples solicitudes MultiPart que contengan archivos. Esta vulnerabilidad está parcheada en 2.1.13.

Gravedad CVSS v3.1: MEDIA

Última modificación:

17/10/2024

Vulnerabilidad en Bref (CVE-2024-24753)

Fecha de publicación:

01/02/2024

Idioma:

Español

Bref habilita PHP sin servidor en AWS Lambda. Cuando Bref se usa en combinación con una API Gateway con el formato v2, no maneja encabezados de valores múltiples. Si PHP genera una respuesta con dos encabezados que tienen la misma clave pero valores diferentes, solo se conserva el último. Si una aplicación se basa en varios encabezados con la misma clave configurada por razones de seguridad, Bref reduciría la seguridad de la aplicación. Por ejemplo, si una aplicación establece varios encabezados "Content-Security-Policy", Bref solo reflejará el último. Esta vulnerabilidad está parcheada en 2.1.13.

Gravedad CVSS v3.1: MEDIA

Última modificación:

09/02/2024

Vulnerabilidad en Bref (CVE-2024-24754)

Fecha de publicación:

01/02/2024

Idioma:

Español

Bref habilita PHP sin servidor en AWS Lambda. Cuando se usa Bref con el tiempo de ejecución de la función controlada por eventos y el controlador es "RequestHandlerInterface", el evento Lambda se convierte en un objeto PSR7. Durante el proceso de conversión, si la solicitud es MultiPart, cada parte se analiza y su contenido se agrega en las matrices `$files` o `$parsedBody`. El proceso de conversión produce un resultado diferente en comparación con el de PHP simple cuando se utilizan claves que terminan en un corchete abierto ([). Según la lógica de la aplicación, la diferencia en el análisis del cuerpo podría generar vulnerabilidades y/o comportamientos indefinidos. Esta vulnerabilidad está parcheada en 2.1.13.

Gravedad CVSS v3.1: CRÍTICA

Última modificación:

09/02/2024

CVE-2024-0704

Fecha de publicación:

01/02/2024

Idioma:

Inglés

*** Pendiente de traducción *** Rejected reason: very low impact - impractical to correct

Gravedad: Pendiente de análisis

Última modificación:

01/02/2024

Vulnerabilidad en python-glance-store (CVE-2024-1141)

Fecha de publicación:

01/02/2024

Idioma:

Español

Se encontró una vulnerabilidad en python-glance-store. El problema ocurre cuando el paquete registra la clave de acceso para el almacén de vistazo cuando el nivel de registro DEBUG está habilitado.

Gravedad CVSS v3.1: MEDIA

Última modificación:

22/05/2024

Vulnerabilidad en DELMIA Apriso (CVE-2024-0935)

Fecha de publicación:

01/02/2024

Idioma:

Español

Una vulnerabilidad de inserción de información confidencial en el archivo de registro está afectando a DELMIA Apriso desde la versión 2019 hasta la versión 2024

Gravedad CVSS v3.1: ALTA

Última modificación:

09/02/2024