Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en una contraseña en curl (CVE-2020-8169)
    Severidad: ALTA
    Fecha de publicación: 14/12/2020
    Fecha de última actualización: 02/11/2026
    curl versiones 7.62.0 hasta 7.70.0, es susceptible a una vulnerabilidad de divulgación de información que puede conllevar a que una contraseña parcial sea filtrada a través de la red y a servidor(es) DNS
  • Vulnerabilidad en un puntero colgante en el envío de datos en libcurl (CVE-2020-8231)
    Severidad: ALTA
    Fecha de publicación: 14/12/2020
    Fecha de última actualización: 02/11/2026
    Debido al uso de un puntero colgante, libcurl versiones 7.29.0 hasta 7.71.1, puede usar la conexión errónea cuando envía datos
  • Vulnerabilidad en un archivo (CVE-2021-31566)
    Severidad: ALTA
    Fecha de publicación: 23/08/2022
    Fecha de última actualización: 02/11/2026
    Un fallo de resolución de enlaces inapropiado puede ocurrir mientras es extraído un archivo que conlleva a un cambio de modos, tiempos, listas de control de acceso y flags de un archivo fuera del archivo. Un atacante puede proporcionar un archivo malicioso a un usuario víctima, que desencadenaría este fallo cuando intente extraer el archivo. Un atacante local puede usar este defecto para conseguir más privilegios en un sistema.
  • Vulnerabilidad en libcurl (CVE-2022-27779)
    Severidad: MEDIA
    Fecha de publicación: 02/06/2022
    Fecha de última actualización: 02/11/2026
    libcurl permite erróneamente que se establezcan cookies para Dominios de Alto Nivel (TLDs) si el nombre de host es proporcionado con un punto al final. curl puede recibir y enviar cookies. "cookie engine" de curl puede construirse con o sin conocimiento de la [Lista de Sufijos Públicos] (https://publicsuffix.org/). Si no es proporcionado soporte de PSL, se presenta una comprobación más rudimentaria para al menos evitar que sean establecidas cookies en los TLD. Esta comprobación no funcionaba si el nombre del host en la URL usaba un punto al final, lo que podía permitir que sitios arbitrarios establecieran cookies que sean enviadas a un sitio o dominio diferente y no relacionado
  • Vulnerabilidad en Drupal Events Log Track (CVE-2025-4416)
    Severidad: ALTA
    Fecha de publicación: 21/05/2025
    Fecha de última actualización: 02/11/2026
    La vulnerabilidad de asignación de recursos sin límites o limitación en Drupal Events Log Track permite una asignación excesiva. Este problema afecta a Events Log Track: desde 0.0.0 antes de 3.1.11, desde 4.0.0 antes de 4.0.2.
  • Vulnerabilidad en Beam beta9 (CVE-2025-69820)
    Severidad: MEDIA
    Fecha de publicación: 22/01/2026
    Fecha de última actualización: 02/11/2026
    Vulnerabilidad de salto de directorio en Beam beta9 v.0.1.521 permite a un atacante remoto obtener información sensible a través de la función joinCleanPath.
  • Vulnerabilidad en BIND 9 de ISC (CVE-2026-10723)
    Severidad: MEDIA
    Fecha de publicación: 22/07/2026
    Fecha de última actualización: 02/11/2026
    BIND puede aceptar registros NSEC3 de zona hija incorrectos como válidos, lo que podría permitir a un atacante falsificar respuestas NXDOMAIN autenticadas. Este problema afecta a las versiones de BIND 9 9.18.0 a la 9.18.50, 9.20.0 a la 9.20.24, 9.21.0 a la 9.21.23, 9.11.3-S1 a la 9.18.50-S1, y 9.20.9-S1 a la 9.20.24-S1.
  • Vulnerabilidad en BIND 9 de ISC (CVE-2026-10822)
    Severidad: MEDIA
    Fecha de publicación: 22/07/2026
    Fecha de última actualización: 02/11/2026
    Si BIND encuentra una estructura de datos inválida particular en un registro DNS, aceptará los datos inválidos y posteriormente puede abortar y salir. BIND primero necesitará almacenar un registro DNS para una clave (KEY, DNSKEY, etc.). Esa clave debe especificar un algoritmo PRIVATEDNS (253), y en el identificador del algoritmo, dar incorrectamente una longitud mayor que los datos reales del identificador. El identificador inválido será almacenado. Si BIND posteriormente necesita renderizar ese registro a texto, usará la longitud inválida durante el procesamiento, lo que llevará a que falle una verificación de consistencia. Este problema afecta a las versiones de BIND 9 9.18.0 a 9.18.50, 9.20.0 a 9.20.24, 9.21.0 a 9.21.23, 9.18.11-S1 a 9.18.50-S1, y 9.20.9-S1 a 9.20.24-S1.
  • Vulnerabilidad en BIND 9 de ISC (CVE-2026-11331)
    Severidad: ALTA
    Fecha de publicación: 22/07/2026
    Fecha de última actualización: 02/11/2026
    Un atacante que sabe (o adivina) que un resolvedor usa RPZ con políticas CNAME de comodín puede elaborar nombres de consulta lo suficientemente largos como para activar una condición de error NAMETOOLONG durante el procesamiento de RPZ. Esto no se maneja correctamente y puede llevar a eludir la regla RPZ. También puede llevar a una salida inesperada del software BIND 9. Este problema afecta a las versiones de BIND 9 9.16.0 hasta 9.18.50, 9.20.0 hasta 9.20.24, 9.21.0 hasta 9.21.23, 9.16.8-S1 hasta 9.18.50-S1, y 9.20.9-S1 hasta 9.20.24-S1.
  • Vulnerabilidad en BIND 9 de ISC (CVE-2026-11605)
    Severidad: ALTA
    Fecha de publicación: 22/07/2026
    Fecha de última actualización: 02/11/2026
    El problema es una vulnerabilidad de agotamiento de recursos asociada con la validación DNSSEC. BIND siempre valida todos los registros RRSIG en una respuesta, incluso si no son estrictamente necesarios. Una consulta a un servidor/zona autoritativo que devuelve muchos registros RRSIG válidos pero superfluos hace que el validador desperdicie un tiempo de CPU desproporcionado. Este problema afecta a las versiones de BIND 9 9.20.0 a 9.20.24, 9.21.0 a 9.21.23, y 9.20.9-S1 a 9.20.24-S1.
  • Vulnerabilidad en BIND 9 de ISC (CVE-2026-11622)
    Severidad: ALTA
    Fecha de publicación: 22/07/2026
    Fecha de última actualización: 02/11/2026
    Un resolvedor validador de DNSSEC que está bajo un ataque de subdominio aleatorio contra una zona firmada con DNSSEC puede sufrir un uso descontrolado de la memoria. El atacante necesita poder enviar consultas más rápido de lo que el resolvedor puede realizar la validación. El aumento del uso de memoria puede ser órdenes de magnitud más allá del límite configurado en el parámetro “max-cache-size”. Este problema afecta a las versiones de BIND 9 9.11.0 a 9.18.50, 9.20.0 a 9.20.24, 9.21.0 a 9.21.23, 9.11.3-S1 a 9.18.50-S1, y 9.20.9-S1 a 9.20.24-S1.
  • Vulnerabilidad en BIND 9 de ISC (CVE-2026-11721)
    Severidad: ALTA
    Fecha de publicación: 22/07/2026
    Fecha de última actualización: 02/11/2026
    Es posible que la zona de un atacante responda a una consulta con un RRSIG que tiene un número menor de etiquetas que la zona en la que está contenido el RRSIG. Esto hace que “named” produzca un nombre comodín para una zona que es más corta que la zona del atacante, lo que puede resultar en envenenamiento de caché. Para que este ataque tenga algún efecto, el resolvedor bajo ataque debe haber configurado “synth-from-dnssec yes;” (que es el valor predeterminado). Este problema afecta a las versiones de BIND 9 9.11.0 a 9.18.50, 9.20.0 a 9.20.24, 9.21.0 a 9.21.23, 9.11.3-S1 a 9.18.50-S1, y 9.20.9-S1 a 9.20.24-S1.
  • Vulnerabilidad en BIND 9 de ISC (CVE-2026-13204)
    Severidad: ALTA
    Fecha de publicación: 22/07/2026
    Fecha de última actualización: 02/11/2026
    Si un dominio demostrablemente inseguro está cubierto por un registro NSEC y NSEC3 en el padre, y existe un RRSIG para solo uno de estos tipos, entonces BIND puede cerrarse inesperadamente con una aserción mientras valida esta prueba. Este problema afecta a las versiones de BIND 9 9.11.0 hasta 9.18.50, 9.20.0 hasta 9.20.24, 9.21.0 hasta 9.21.23, 9.11.3-S1 hasta 9.18.50-S1, y 9.20.9-S1 hasta 9.20.24-S1.
  • Vulnerabilidad en BIND 9 de ISC (CVE-2026-13321)
    Severidad: ALTA
    Fecha de publicación: 22/07/2026
    Fecha de última actualización: 02/11/2026
    El resolvedor BIND acepta registros NSEC válidamente firmados donde el campo ’Next Domain Name’ apunta fuera de la zona del firmante. Este problema afecta a las versiones de BIND 9 9.11.0 hasta 9.18.50, 9.20.0 hasta 9.20.24, 9.21.0 hasta 9.21.23, 9.11.3-S1 hasta 9.18.50-S1, y 9.20.9-S1 hasta 9.20.24-S1.