Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en oathkeeper de ory (CVE-2026-33494)
    Severidad: CRÍTICA
    Fecha de publicación: 26/03/2026
    Fecha de última actualización: 07/04/2026
    ORY Oathkeeper es un proxy de identidad y acceso (IAP) y una API de decisión de control de acceso que autoriza solicitudes HTTP basándose en conjuntos de reglas de acceso. Las versiones anteriores a la 26.2.0 son vulnerables a una omisión de autorización a través de un salto de ruta HTTP. Un atacante puede crear una URL que contenga secuencias de salto de ruta (por ejemplo, '/public/../admin/secrets') que se resuelva en una ruta protegida después de la normalización, pero que se compare con una regla permisiva porque la ruta sin procesar y sin normalizar se utiliza durante la evaluación de la regla. La versión 26.2.0 contiene un parche.
  • Vulnerabilidad en oathkeeper de ory (CVE-2026-33496)
    Severidad: ALTA
    Fecha de publicación: 26/03/2026
    Fecha de última actualización: 07/04/2026
    ORY Oathkeeper es un Proxy de Identidad y Acceso (IAP) y una API de Decisión de Control de Acceso que autoriza solicitudes HTTP basándose en conjuntos de Reglas de Acceso. Las versiones anteriores a la 26.2.0 son vulnerables a la omisión de autenticación debido a la confusión de claves de caché. La caché del autenticador `oauth2_introspection` no distingue los tokens que fueron validados con diferentes URL de introspección. Un atacante puede, por lo tanto, usar legítimamente un token para cebar la caché y posteriormente usar el mismo token para reglas que usan un servidor de introspección diferente. Ory Oathkeeper debe configurarse con múltiples servidores autenticadores `oauth2_introspection`, cada uno aceptando tokens diferentes. Los autenticadores también deben configurarse para usar el almacenamiento en caché. Un atacante tiene que tener una forma de obtener un token válido para uno de los servidores de introspección configurados. A partir de la versión 26.2.0, Ory Oathkeeper incluye la URL del servidor de introspección en la clave de caché, evitando la confusión de tokens. Actualice a la versión parcheada de Ory Oathkeeper. Si eso no es posible de inmediato, deshabilite el almacenamiento en caché para los autenticadores `oauth2_introspection`.
  • Vulnerabilidad en hydra de ory (CVE-2026-33504)
    Severidad: ALTA
    Fecha de publicación: 26/03/2026
    Fecha de última actualización: 07/04/2026
    Ory Hydra es un servidor OAuth 2.0 y un proveedor de OpenID Connect. Antes de la versión 26.2.0, las API de administración listOAuth2Clients, listOAuth2ConsentSessions y listTrustedOAuth2JwtGrantIssuers en Ory Hydra son vulnerables a inyección SQL debido a fallos en su implementación de paginación. Los tokens de paginación se cifran usando el secreto configurado en `secrets.pagination`. Si este valor no está configurado, Hydra recurre a usar `secrets.system`. Un atacante que conoce este secreto puede crear sus propios tokens, incluyendo tokens maliciosos que conducen a inyección SQL. Este problema puede ser explotado cuando una o más API de administración listadas anteriormente son directa o indirectamente accesibles para el atacante; el atacante puede pasar un token de paginación sin procesar a la API afectada; y el valor de configuración `secrets.pagination` está configurado y es conocido por el atacante, o `secrets.pagination` no está configurado y `secrets.system` es conocido por el atacante. Un atacante puede ejecutar consultas SQL arbitrarias a través de tokens de paginación falsificados. Como primera línea de defensa, configure inmediatamente un valor personalizado para `secrets.pagination` generando un secreto aleatorio criptográficamente seguro. A continuación, actualice Hydra a la versión corregida, 26.2.0 lo antes posible.
  • Vulnerabilidad en Zimbra Collaboration (ZCS) (CVE-2026-33373)
    Severidad: ALTA
    Fecha de publicación: 30/03/2026
    Fecha de última actualización: 07/04/2026
    Se descubrió un problema en Zimbra Collaboration (ZCS) 10.0 y 10.1. Existe una vulnerabilidad de falsificación de petición en sitios cruzados (CSRF) en el cliente web de Zimbra debido a la emisión de tokens de autenticación sin protección CSRF durante ciertas transiciones de estado de cuenta. Específicamente, los tokens generados después de operaciones como habilitar la autenticación de dos factores o cambiar una contraseña pueden carecer de aplicación de CSRF. Mientras dicho token esté activo, las peticiones SOAP autenticadas que desencadenan la generación de tokens o cambios de estado pueden realizarse sin validación CSRF. Un atacante podría explotar esto induciendo a una víctima a enviar peticiones manipuladas, lo que podría permitir acciones sensibles en la cuenta como deshabilitar la autenticación de dos factores. El problema se mitiga asegurando que la protección CSRF se aplique consistentemente para todos los tokens de autenticación emitidos.