Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las últimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las últimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las últimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en Go (CVE-2023-39326)

Fecha de publicación:
06/12/2023
Idioma:
Español
Un remitente HTTP malicioso puede usar extensiones de fragmentos para hacer que un receptor que lea el cuerpo de una solicitud o respuesta lea muchos más bytes de la red que los que hay en el cuerpo. Un cliente HTTP malicioso puede aprovechar esto aún más para hacer que un servidor lea automáticamente una gran cantidad de datos (hasta aproximadamente 1 GiB) cuando un controlador no puede leer el cuerpo completo de una solicitud. Las extensiones fragmentadas son una característica HTTP poco utilizada que permite incluir metadatos adicionales en el cuerpo de una solicitud o respuesta enviada utilizando la codificación fragmentada. El lector de codificación fragmentada net/http descarta estos metadatos. Un remitente puede aprovechar esto insertando un segmento de metadatos grande con cada byte transferido. El lector de fragmentos ahora produce un error si la proporción entre el cuerpo real y los bytes codificados es demasiado pequeña.
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/01/2024

Vulnerabilidad en Go (CVE-2023-45285)

Fecha de publicación:
06/12/2023
Idioma:
Español
El uso de go get para buscar un módulo con el sufijo ".git" puede recurrir inesperadamente al protocolo inseguro "git://" si el módulo no está disponible a través de "https://" y "git+ssh://" seguros, protocolos, incluso si GOINSECURE no está configurado para dicho módulo. Esto sólo afecta a los usuarios que no utilizan el proxy del módulo y están obteniendo módulos directamente (es decir, GOPROXY = desactivado).
Gravedad CVSS v3.1: ALTA
Última modificación:
20/01/2024

Vulnerabilidad en Quarkus Cache Runtime (CVE-2023-6393)

Fecha de publicación:
06/12/2023
Idioma:
Español
Se encontró una falla en Quarkus Cache Runtime. Cuando el procesamiento de solicitudes utiliza una Uni almacenada en caché usando @CacheResult y la Uni almacenada en caché reutiliza el contexto de "completion" inicial, el procesamiento cambia a la Uni almacenada en caché en lugar del contexto de solicitud. Esto es un problema si el contexto Uni almacenado en caché contiene información confidencial y podría permitir que un usuario malintencionado se beneficie de una solicitud POST que devuelva la respuesta destinada a otro usuario, obteniendo acceso a datos confidenciales.
Gravedad CVSS v3.1: MEDIA
Última modificación:
02/08/2024

Vulnerabilidad en ProLion CryptoSpike 3.0.15P2 (CVE-2023-36655)

Fecha de publicación:
06/12/2023
Idioma:
Español
La API REST de inicio de sesión en ProLion CryptoSpike 3.0.15P2 (cuando se utiliza LDAP o Active Directory como tienda de usuarios) permite a un usuario bloqueado remoto iniciar sesión y obtener un token de autenticación especificando un nombre de usuario con una combinación diferente de caracteres en mayúsculas y minúsculas.
Gravedad CVSS v3.1: CRÍTICA
Última modificación:
11/10/2024

Vulnerabilidad en AMI AptioV (CVE-2023-39538)

Fecha de publicación:
06/12/2023
Idioma:
Español
AMI AptioV contiene una vulnerabilidad en BIOS donde un usuario puede provocar una carga sin restricciones de un archivo de logotipo BMP con un tipo peligroso mediante acceso local. Una explotación exitosa de esta vulnerabilidad puede provocar una pérdida de confidencialidad, integridad y/o disponibilidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/01/2024

Vulnerabilidad en AMI AptioV (CVE-2023-39539)

Fecha de publicación:
06/12/2023
Idioma:
Español
AMI AptioV contiene una vulnerabilidad en BIOS donde un usuario puede provocar una carga sin restricciones de un archivo de logotipo PNG con un tipo peligroso mediante acceso local. Una explotación exitosa de esta vulnerabilidad puede provocar una pérdida de confidencialidad, integridad y/o disponibilidad.
Gravedad CVSS v3.1: ALTA
Última modificación:
05/01/2024

Vulnerabilidad en TOTOLINK A3002RU (CVE-2023-48859)

Fecha de publicación:
06/12/2023
Idioma:
Español
TOTOLINK A3002RU versión 2.0.0-B20190902.1958 tiene un RCE de autenticación posterior debido a un control de acceso incorrecto, permite a los atacantes eludir las restricciones de seguridad del front-end y ejecutar código arbitrario.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/12/2023

Vulnerabilidad en Filr (CVE-2023-32268)

Fecha de publicación:
06/12/2023
Idioma:
Español
Exposición de las credenciales de administrador proxy un usuario de Filr equivalente a un administrador autenticado puede acceder a las credenciales de los administradores proxy.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/12/2023

Vulnerabilidad en Remote Desktop Manager (CVE-2023-6288)

Fecha de publicación:
06/12/2023
Idioma:
Español
La inyección de código en Remote Desktop Manager 2023.3.9.3 y versiones anteriores en macOS permite a un atacante ejecutar código a través de la variable de entorno DYLIB_INSERT_LIBRARIES.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/12/2023

Vulnerabilidad en Mattermost (CVE-2023-6459)

Fecha de publicación:
06/12/2023
Idioma:
Español
Mattermost agrupa llamadas en el endpoint /metrics por identificación e informar esa identificación en la respuesta. Dado que esta identificación es la ID del canal, el endpoint público /metrics revela los ID de los canales.
Gravedad CVSS v3.1: MEDIA
Última modificación:
12/12/2023

Vulnerabilidad en Huawei Smart Screen (CVE-2023-6514)

Fecha de publicación:
06/12/2023
Idioma:
Español
El módulo Bluetooth de algunos productos Huawei Smart Screen tiene una vulnerabilidad de omisión de autenticación de identidad. La explotación exitosa de esta vulnerabilidad puede permitir a los atacantes acceder a funciones restringidas. La explotación exitosa de esta vulnerabilidad puede permitir a los atacantes acceder a funciones restringidas.
Gravedad CVSS v3.1: ALTA
Última modificación:
12/12/2023

Vulnerabilidad en Huawei HarmonyOS (CVE-2023-44099)

Fecha de publicación:
06/12/2023
Idioma:
Español
Vulnerabilidad de errores de verificación de datos en el módulo del kernel. La explotación exitosa de esta vulnerabilidad puede provocar la interrupción de la WLAN.
Gravedad CVSS v3.1: ALTA
Última modificación:
11/12/2023