Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en el archivo view_edit.shtm en OpenPLC ScadaBR (CVE-2021-26828)
    Severidad: ALTA
    Fecha de publicación: 11/06/2021
    Fecha de última actualización: 04/12/2025
    OpenPLC ScadaBR versiones hasta 0.9.1 en Linux y versiones hasta 1.12.4 en Windows permite a usuarios remotos autenticados cargar y ejecutar archivos JSP arbitrarios por medio del archivo view_edit.shtm
  • Vulnerabilidad en PostgreSQL (CVE-2024-27304)
    Severidad: CRÍTICA
    Fecha de publicación: 06/03/2024
    Fecha de última actualización: 04/12/2025
    pgx es un controlador PostgreSQL y un conjunto de herramientas para Go. La inyección de SQL puede ocurrir si un atacante puede hacer que una sola consulta o mensaje de enlace supere los 4 GB de tamaño. Un desbordamiento de enteros en el tamaño del mensaje calculado puede provocar que un mensaje grande se envíe como varios mensajes bajo el control del atacante. El problema se resuelve en v4.18.2 y v5.5.4. Como solución alternativa, rechace la entrada del usuario lo suficientemente grande como para provocar que una sola consulta o mensaje vinculado supere los 4 GB de tamaño.
  • Vulnerabilidad en JSONata (CVE-2024-27307)
    Severidad: CRÍTICA
    Fecha de publicación: 06/03/2024
    Fecha de última actualización: 04/12/2025
    JSONata es un lenguaje de consulta y transformación JSON. A partir de la versión 1.4.0 y anteriores a las versiones 1.8.7 y 2.0.4, una expresión maliciosa puede utilizar el operador de transformación para anular propiedades en el constructor y prototipo del `Objeto`. Esto puede provocar denegación de servicio, ejecución remota de código u otro comportamiento inesperado en aplicaciones que evalúan expresiones JSONata proporcionadas por el usuario. Este problema se solucionó en las versiones 1.8.7 y 2.0.4 de JSONata. Las aplicaciones que evalúan expresiones proporcionadas por el usuario deben actualizarse lo antes posible para evitar la explotación. Como solución alternativa, se puede aplicar el parche manualmente.
  • Vulnerabilidad en Mio (CVE-2024-27308)
    Severidad: ALTA
    Fecha de publicación: 06/03/2024
    Fecha de última actualización: 04/12/2025
    Mio es una librería Metal I/O para Rust. Cuando se utilizan canalizaciones con nombre en Windows, mio, en algunas circunstancias, devolverá tokens no válidos que corresponden a canalizaciones con nombre que ya se han dado de baja del registro de mio. El impacto de esta vulnerabilidad depende de cómo se utilice mio. Para algunas aplicaciones, los tokens no válidos pueden ignorarse o provocar una advertencia o un bloqueo. Por otro lado, para las aplicaciones que almacenan punteros en tokens, esta vulnerabilidad puede resultar en un use-after-free para los usuarios de Tokio, esta vulnerabilidad es grave y puede resultar en un use-after-free en Tokio. La vulnerabilidad es específica de Windows y solo puede ocurrir si utiliza canalizaciones con nombre. Otros recursos de IO no se ven afectados. Esta vulnerabilidad se ha solucionado en mio v0.8.11. Todas las versiones de mio entre v0.7.2 y v0.8.10 son vulnerables. Tokio es vulnerable cuando estás usando una versión vulnerable de mio Y estás usando al menos Tokio v1.30.0. Las versiones de Tokio anteriores a la v1.30.0 ignorarán los tokens no válidos, por lo que no son vulnerables. Las bibliotecas vulnerables que utilizan mio pueden solucionar este problema detectando e ignorando tokens no válidos.
  • Vulnerabilidad en Kerberos de Apache Druid (CVE-2025-59390)
    Severidad: CRÍTICA
    Fecha de publicación: 26/11/2025
    Fecha de última actualización: 04/12/2025
    El autenticador Kerberos de Apache Druid utiliza un secreto de respaldo débil cuando la configuración `druid.auth.authenticator.kerberos.cookieSignatureSecret` no se establece explícitamente. En este caso, el secreto se genera utilizando `ThreadLocalRandom`, que no es un generador de números aleatorios criptográficamente seguro. Esto puede permitir a un atacante predecir o forzar por fuerza bruta el secreto utilizado para firmar las cookies de autenticación, lo que podría permitir la falsificación de tokens o eludir la autenticación. Además, cada proceso genera su propio secreto de respaldo, lo que da lugar a secretos inconsistentes entre los nodos. Esto provoca fallos de autenticación en implementaciones distribuidas o con múltiples brokers, lo que conduce efectivamente a clústeres configurados incorrectamente. Se recomienda a los usuarios que configuren un `druid.auth.authenticator.kerberos.cookieSignatureSecret` fuerte. Este problema afecta a Apache Druid: hasta la versión 34.0.0. Se recomienda a los usuarios que actualicen a la versión 35.0.0, que corrige el problema y hace obligatorio establecer `druid.auth.authenticator.kerberos.cookieSignatureSecret` cuando se utiliza el autenticador Kerberos. Los servicios no se iniciarán si no se establece el secreto.
  • Vulnerabilidad en Hive Metastore Server (HMS) (CVE-2025-62728)
    Severidad: MEDIA
    Fecha de publicación: 26/11/2025
    Fecha de última actualización: 04/12/2025
    Vulnerabilidad de inyección SQL en Hive Metastore Server (HMS) al procesar solicitudes de eliminación de estadísticas de columnas a través de las API T.hrift. La vulnerabilidad solo puede ser explotada por usuarios/aplicaciones de confianza/autorizados a los que se les permite llamar directamente a las API Thrift. En la mayoría de las implementaciones del mundo real, solo unas pocas aplicaciones (por ejemplo, Hiveserver2) pueden acceder a HMS, por lo que la vulnerabilidad no es explotable. Además, no se puede acceder al código vulnerable cuando la propiedad metastore.try.direct.sql está establecida en false. Este problema afecta a Apache Hive: desde la versión 4.1.0 hasta la 4.2.0. Se recomienda a los usuarios que actualicen a la versión 4.2.0, que corrige el problema. Se recomienda a los usuarios que no puedan actualizar directamente que establezcan la propiedad metastore.try.direct.sql en false si las API Thrift de HMS están expuestas al público en general.