Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en strukturag libde265 commit d9fea9d (CVE-2025-61147)
    Severidad: MEDIA
    Fecha de publicación: 23/02/2026
    Fecha de última actualización: 24/03/2026
    Se descubrió que strukturag libde265 commit d9fea9d contenía un fallo de segmentación a través del componente decoder_context::compute_framedrop_table().
  • Vulnerabilidad en openwrt (CVE-2026-30871)
    Severidad: CRÍTICA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    El Proyecto OpenWrt es un sistema operativo Linux dirigido a dispositivos embebidos. En versiones anteriores a la 24.10.6 y 25.12.1, el demonio mdns tiene una vulnerabilidad de desbordamiento de búfer basado en pila en la función parse_question. El problema se activa por consultas PTR para dominios DNS inversos (.in-addr.arpa y .ip6.arpa). Los paquetes DNS recibidos en el puerto UDP 5353 son expandidos por dn_expand en un búfer global de 8096 bytes (name_buffer), que luego se copia mediante un strcpy sin límites en un búfer de pila fijo de 256 bytes al manejar consultas TYPE_PTR. El desbordamiento es posible porque dn_expand convierte bytes ASCII no imprimibles (p. ej., 0x01) en representaciones octales de múltiples caracteres (p. ej., \001), inflando significativamente el nombre expandido más allá de la capacidad del búfer de pila. Un paquete DNS manipulado puede explotar este comportamiento de expansión para desbordar el búfer de pila, haciendo que la vulnerabilidad sea alcanzable a través del procesamiento normal de paquetes DNS multicast. Este problema ha sido corregido en las versiones 24.10.6 y 25.12.1.
  • Vulnerabilidad en openwrt (CVE-2026-30872)
    Severidad: CRÍTICA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    Proyecto OpenWrt es un sistema operativo Linux dirigido a dispositivos embebidos. En versiones anteriores a la 24.10.6 y 25.12.1, el demonio mdns tiene una vulnerabilidad de desbordamiento de búfer basado en pila en la función match_ipv6_addresses, que se activa al procesar consultas PTR para dominios DNS inversos IPv6 (.ip6.arpa) recibidas a través de DNS multicast en el puerto UDP 5353. Durante el procesamiento, el nombre de dominio de name_buffer se copia mediante strcpy en un búfer de pila fijo de 256 bytes, y luego la solicitud IPv6 inversa se extrae en un búfer de solo 46 bytes (INET6_ADDRSTRLEN). Debido a que la longitud de los datos nunca se valida antes de esta extracción, un atacante puede proporcionar una entrada mayor de 46 bytes, causando una escritura fuera de límites. Esto permite que una consulta DNS especialmente diseñada desborde el búfer de pila en match_ipv6_addresses, lo que podría permitir la ejecución remota de código. Este problema ha sido corregido en las versiones 24.10.6 y 25.12.1.
  • Vulnerabilidad en openwrt (CVE-2026-30873)
    Severidad: BAJA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    OpenWrt Project es un sistema operativo Linux dirigido a dispositivos embebidos. En versiones anteriores a ambas 24.10.6 y 25.12.1, la función jp_get_token, que realiza análisis léxico dividiendo las expresiones de entrada en tokens, contiene una vulnerabilidad de fuga de memoria al extraer literales de cadena, etiquetas de campo y expresiones regulares utilizando asignación dinámica de memoria. Estos resultados extraídos se almacenan en una estructura jp_opcode, que se copia posteriormente a un objeto jp_opcode recién asignado mediante jp_alloc_op. Durante esta transferencia, si una cadena fue previamente extraída y almacenada en el jp_opcode inicial, se copia a la nueva asignación pero la memoria original nunca se libera, resultando en una fuga de memoria. Este problema ha sido corregido en las versiones 24.10.6 y 25.12.1.
  • Vulnerabilidad en SuiteCRM (CVE-2026-29100)
    Severidad: ALTA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    SuiteCRM es una aplicación de software de gestión de relaciones con clientes (CRM) de código abierto y lista para empresas. SuiteCRM 7.15.0 contiene una vulnerabilidad de inyección HTML reflejada en la página de inicio de sesión que permite a los atacantes inyectar contenido HTML arbitrario, lo que posibilita ataques de phishing y desfiguración de páginas. La versión 7.15.1 corrige el problema.
  • Vulnerabilidad en SuiteCRM (CVE-2026-29101)
    Severidad: MEDIA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, existe una vulnerabilidad de Denegación de Servicio (DoS) en los módulos de SuiteCRM. Las versiones 7.15.1 y 8.9.3 aplican un parche al problema.
  • Vulnerabilidad en SuiteCRM (CVE-2026-29102)
    Severidad: ALTA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, existe una vulnerabilidad de ejecución remota de código (RCE) autenticada en los módulos de SuiteCRM. Las versiones 7.15.1 y 8.9.3 parchean el problema.
  • Vulnerabilidad en SuiteCRM (CVE-2026-29103)
    Severidad: CRÍTICA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para empresas. Una vulnerabilidad crítica de ejecución remota de código (RCE) existe en SuiteCRM 7.15.0 y 8.9.2, permitiendo a administradores autenticados ejecutar comandos de sistema arbitrarios. Esta vulnerabilidad es un bypass directo del parche de CVE-2024-49774. Aunque el proveedor intentó solucionar el problema en la versión 7.14.5, la falla subyacente en ModuleScanner.php con respecto al análisis de tokens de PHP persiste. El escáner restablece incorrectamente su estado interno (bandera $checkFunction) al encontrar cualquier token de un solo carácter (como =, ., o ;). Esto permite a los atacantes ocultar llamadas a funciones peligrosas (por ejemplo, system(), exec()) utilizando asignaciones de variables o concatenación de cadenas, evadiendo completamente los controles de seguridad de MLP. Las versiones 7.15.1 y 8.9.3 parchean el problema.
  • Vulnerabilidad en SuiteCRM (CVE-2026-29104)
    Severidad: BAJA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    SuiteCRM es una aplicación de software de gestión de relaciones con el cliente (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, SuiteCRM contiene una vulnerabilidad de carga de archivos arbitraria autenticada en el módulo Configurator. Un administrador autenticado puede eludir las restricciones de tipo de archivo previstas al cargar archivos de fuentes PDF, permitiendo que archivos arbitrarios con nombres de archivo controlados por el atacante sean escritos en el servidor. Aunque el directorio de carga no es directamente accesible por web por defecto, este comportamiento rompe los límites de seguridad y puede habilitar ataques adicionales cuando se combina con otras vulnerabilidades o en ciertas configuraciones de despliegue. Las versiones 7.15.1 y 8.9.3 parchean el problema.
  • Vulnerabilidad en SuiteCRM (CVE-2026-29105)
    Severidad: MEDIA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    SuiteCRM es una aplicación de software de Gestión de Relaciones con Clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, SuiteCRM contiene una vulnerabilidad de redirección abierta no autenticada en la funcionalidad de captura WebToLead. Un parámetro POST proporcionado por el usuario se utiliza como destino de redirección sin validación, permitiendo a los atacantes redirigir a las víctimas a sitios web externos arbitrarios. Esta vulnerabilidad permite a los atacantes abusar del dominio de confianza de SuiteCRM para ataques de phishing e ingeniería social, redirigiendo a los usuarios a sitios web externos maliciosos. Las versiones 7.15.1 y 8.9.3 aplican un parche al problema.
  • Vulnerabilidad en SuiteCRM (CVE-2026-29106)
    Severidad: MEDIA
    Fecha de publicación: 19/03/2026
    Fecha de última actualización: 24/03/2026
    SuiteCRM es una aplicación de software de gestión de relaciones con clientes (CRM) de código abierto y lista para empresas. Antes de las versiones 7.15.1 y 8.9.3, el valor del parámetro de solicitud return_id se copia en el valor de un atributo de etiqueta HTML que es un gestor de eventos y está encapsulado entre comillas dobles. Las versiones 7.15.1 y 8.9.3 parchean el problema. Los usuarios también deben usar una cabecera de Política de Seguridad de Contenido (CSP) para mitigar completamente el XSS.
  • Vulnerabilidad en Sliver (CVE-2026-32941)
    Severidad: ALTA
    Fecha de publicación: 20/03/2026
    Fecha de última actualización: 24/03/2026
    Sliver es un framework de comando y control que utiliza una pila de red Wireguard personalizada. Las versiones 1.7.3 e inferiores contienen una vulnerabilidad remota de OOM (Out-of-Memory) en la capa de transporte mTLS y WireGuard C2 del servidor C2 de Sliver. Las funciones socketReadEnvelope y socketWGReadEnvelope confían en un prefijo de longitud de 4 bytes controlado por el atacante para asignar memoria, con ServerMaxMessageSize permitiendo asignaciones únicas de hasta ~2 GiB. Un implante comprometido o un atacante con credenciales válidas puede explotar esto enviando prefijos de longitud fabricados a través de flujos yamux concurrentes (hasta 128 por conexión), forzando al servidor a intentar asignar ~256 GiB de memoria y desencadenando una eliminación OOM del sistema operativo. Esto bloquea el servidor de Sliver, interrumpe todas las sesiones de implantes activas y puede degradar o eliminar otros procesos que comparten el mismo host. El mismo patrón también afecta a todos los lectores del lado del implante, que no tienen ninguna verificación de límite superior. El problema no se había solucionado en el momento de la publicación.
  • Vulnerabilidad en Egress Policy (CVE-2026-32946)
    Severidad: MEDIA
    Fecha de publicación: 20/03/2026
    Fecha de última actualización: 24/03/2026
    Harden-Runner es un agente de seguridad de CI/CD que funciona como un EDR para los runners de GitHub Actions. En las versiones 2.15.1 y anteriores, el Harden-Runner permite eludir la restricción de red 'egress-policy: block' utilizando consultas DNS sobre TCP. Las políticas de egreso se aplican en los runners de GitHub filtrando las conexiones salientes en la capa de red. Cuando 'egress-policy: block' está habilitado con una lista restrictiva de puntos finales permitidos (por ejemplo, solo github.com:443), todo el tráfico no conforme debería ser denegado. Sin embargo, las consultas DNS sobre TCP, comúnmente utilizadas para respuestas grandes o como alternativa a UDP, no están restringidas adecuadamente. Herramientas como dig pueden iniciar explícitamente consultas DNS basadas en TCP (bandera +tcp) sin ser bloqueadas. Esta vulnerabilidad requiere que el atacante ya tenga capacidades de ejecución de código dentro del flujo de trabajo de GitHub Actions. El problema ha sido solucionado en la versión 2.16.0.
  • Vulnerabilidad en Harden-Runner (CVE-2026-32947)
    Severidad: MEDIA
    Fecha de publicación: 20/03/2026
    Fecha de última actualización: 24/03/2026
    Harden-Runner es un agente de seguridad de CI/CD que funciona como un EDR para los runners de GitHub Actions. En las versiones 2.15.1 e inferiores, una vulnerabilidad de DNS sobre HTTPS (DoH) permite a los atacantes eludir las restricciones de red de 'egress-policy: block' al tunelizar datos exfiltrados a través de puntos finales HTTPS permitidos como dns.google. El ataque funciona codificando datos sensibles (por ejemplo, el nombre de host del runner) como subdominios en consultas DoH, que aparecen como tráfico HTTPS legítimo para el filtrado basado en dominio de Harden-Runner pero que finalmente se reenvían a un dominio controlado por el atacante. Esto permite eficazmente la exfiltración de datos sin conectarse directamente a ningún destino bloqueado. La explotación requiere que el atacante ya tenga ejecución de código dentro del flujo de trabajo de GitHub Actions. El problema se solucionó en la versión 2.16.0.