Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en ftpd.c en gssftp ftpd en MIT Kerberos (CVE-2007-5894)
Severidad: Pendiente de análisis
Fecha de publicación: 06/12/2007
Fecha de última actualización: 06/11/2026
** EN DISPUTA ** La función de respuesta en ftpd.c en gssftp ftpd en MIT Kerberos 5 (krb5) no inicializa la variable de longitud cuando auth_type tiene un cierto valor, que tiene un impacto desconocido y vectores de ataque autenticados remotos. NOTA: la divulgación original identifica erróneamente las condiciones bajo las cuales se utiliza la variable no inicializada. NOTA: el proveedor discute este problema, indicando que "la variable 'longitud' solo no se inicializa si 'auth_type' no es ni 'KERBEROS_V4' ni 'GSSAPI'; esta condición no puede ocurrir en el código fuente no modificado".
Vulnerabilidad en TLSv1.3 (CVE-2024-2511)
Severidad: MEDIA
Fecha de publicación: 08/04/2024
Fecha de última actualización: 06/11/2026
Resumen del problema: algunas configuraciones de servidor TLS no predeterminadas pueden causar un crecimiento ilimitado de la memoria al procesar sesiones TLSv1.3. Resumen de impacto: un atacante puede explotar ciertas configuraciones del servidor para desencadenar un crecimiento ilimitado de la memoria que conduciría a una denegación de servicio. Este problema puede ocurrir en TLSv1.3 si se utiliza la opción SSL_OP_NO_TICKET no predeterminada (pero no si también se configura la compatibilidad con early_data y se utiliza la protección antirrepetición predeterminada). En este caso, bajo ciertas condiciones, el caché de la sesión puede entrar en un estado incorrecto y no se vaciará correctamente a medida que se llena. La caché de la sesión seguirá creciendo de forma ilimitada. Un cliente malintencionado podría crear deliberadamente el escenario para que este fallo fuerce una denegación de servicio. También puede ocurrir por accidente durante el funcionamiento normal. Este problema solo afecta a los servidores TLS que admiten TLSv1.3. No afecta a los clientes TLS. Los módulos FIPS en 3.2, 3.1 y 3.0 no se ven afectados por este problema. OpenSSL 1.0.2 tampoco se ve afectado por este problema.
Vulnerabilidad en Android (CVE-2026-0047)
Severidad: ALTA
Fecha de publicación: 02/03/2026
Fecha de última actualización: 06/11/2026
En dumpBitmapsProto de ActivityManagerService.java, existe una forma posible para que una aplicación acceda a información privada debido a una falta de comprobación de permisos. Esto podría llevar a una escalada de privilegios local sin privilegios de ejecución adicionales necesarios. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en MariaDB (CVE-2026-35549)
Severidad: MEDIA
Fecha de publicación: 03/04/2026
Fecha de última actualización: 06/11/2026
Se descubrió un problema en MariaDB Server antes de 11.4.10, 11.5.x hasta 11.8.x antes de 11.8.6, y 12.x antes de 12.2.2. Si el plugin de autenticación caching_sha2_password está instalado, y algunas cuentas de usuario están configuradas para usarlo, un paquete grande puede bloquear el servidor porque sha256_crypt_r usa alloca.
Vulnerabilidad en Android de Google (CVE-2026-0049)
Severidad: MEDIA
Fecha de publicación: 06/04/2026
Fecha de última actualización: 06/11/2026
En onHeaderDecoded de LocalImageResolver.java, existe una posible denegación de servicio persistente debido al agotamiento de recursos. Esto podría llevar a una denegación de servicio local sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Red Hat Enterprise Linux 10, Red Hat Enterprise Linux 6, Red Hat Enterprise Linux 7, Red Hat Enterprise Linux 8, Red Hat Enterprise Linux 9 y Red Hat OpenShift Container Platform 4 de Red Hat (CVE-2026-2340)
Severidad: MEDIA
Fecha de publicación: 27/05/2026
Fecha de última actualización: 06/11/2026
Se encontró una vulnerabilidad en el módulo vfs_gusano de Samba. El módulo está diseñado para proporcionar protecciones de escritura única, lectura múltiple (WORM) al evitar la modificación de archivos después de un período de gracia configurable. Debido a una validación insuficiente durante las operaciones de renombrado, un usuario autenticado con acceso de escritura a un recurso compartido podría sobrescribir un archivo protegido al renombrar un archivo recién creado sobre el archivo existente protegido por WORM.
Vulnerabilidad en Android de Google (CVE-2026-0051)
Severidad: MEDIA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En múltiples funciones de ubsan_throwing_runtime.cpp, existe una posible forma de causar una caída del sistema debido a una validación de entrada incorrecta. Esto podría llevar a una denegación de servicio remota sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0055)
Severidad: MEDIA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En createSessionInternal de PackageInstallerService.java, existe la posibilidad de actualizar un Controlador de Políticas de Dispositivo (DPC) a un directorio no válido debido a un error de salto de ruta. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0059)
Severidad: ALTA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En múltiples funciones de sdp_discovery.cc, existe una posible forma de lograr la ejecución de código debido a un desbordamiento de búfer en el montón. Esto podría conducir a la ejecución remota (proximal/adyacente) de código sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para su explotación.
Vulnerabilidad en Android de Google (CVE-2026-0061)
Severidad: MEDIA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En múltiples funciones de WindowState.java, existe una posible forma de engañar a un usuario para que acepte un permiso debido a un ataque de tapjacking/superposición. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0070)
Severidad: MEDIA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En múltiples funciones de DevicePolicyManagerService.java, existe una posible forma de ocultar un paquete crítico del sistema debido a una validación de entrada incorrecta. Esto podría llevar a una denegación de servicio local sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0074)
Severidad: MEDIA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En getPreferredSize de LauncherProcessImageListener.kt, existe una posible denegación de servicio debido al agotamiento de recursos. Esto podría llevar a una denegación de servicio local sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0076)
Severidad: ALTA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En validateNode de ResourceTypes.cpp, existe una posible lectura fuera de límites debido a una comprobación de límites incorrecta. Esto podría conducir a una escalada de privilegios local sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0078)
Severidad: ALTA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En setGlobalProxy de DevicePolicyManagerService.java, hay una posible desincronización en la persistencia debido a una validación de entrada incorrecta. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0080)
Severidad: MEDIA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En múltiples funciones de ubsan_throwing_runtime.cpp, existe una posible forma de causar un fallo debido a un desbordamiento de entero. Esto podría llevar a una denegación de servicio remota sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para su explotación.
Vulnerabilidad en Android de Google (CVE-2026-0086)
Severidad: MEDIA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En onCreate de DisableSupervisionActivity.kt, existe una posible forma de eliminar datos de supervisión debido a una comprobación de nulos faltante. Esto podría llevar a una escalada de privilegios local sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0088)
Severidad: ALTA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En getCallingAppLabel de CertInstaller.java, existe una forma posible de ocultar un diálogo de seguridad sensible debido a una interfaz de usuario engañosa o insuficiente. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0091)
Severidad: ALTA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En múltiples ubicaciones, existe una posible forma de ejecutar código en el proceso del lanzador debido a un usuario de shell con privilegios excesivos. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0094)
Severidad: ALTA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En getApplicationLabel de KeyChainActivity.java, existe una posible forma de engañar al usuario para que apruebe el acceso a los certificados debido a una interfaz de usuario (IU) engañosa o insuficiente. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0096)
Severidad: ALTA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En getAppLabel de ForgetDeviceDialogFragment.java, existe una posible inducción al usuario a olvidar un dispositivo debido a una UI engañosa o insuficiente. Esto podría conducir a una escalada de privilegios local sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0098)
Severidad: ALTA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En getCallingPackageName de Shared.java, existe una posible forma de eludir las restricciones de inicio de actividad debido a un delegado confuso. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. La interacción del usuario no es necesaria para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-0100)
Severidad: ALTA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En Load de LoadedArsc.cpp, existe una posible escritura fuera de límites debido a un desbordamiento de búfer en el heap. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2026-28578)
Severidad: MEDIA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En múltiples funciones de DevicePolicyManagerService.java, existe una posible desincronización de la persistencia debido a una validación de entrada incorrecta. Esto podría llevar a una denegación de servicio local sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para su explotación.
Vulnerabilidad en Android de Google (CVE-2026-28581)
Severidad: MEDIA
Fecha de publicación: 01/06/2026
Fecha de última actualización: 06/11/2026
En fixInitiatingUserIfNecessary de CallIntentProcessor.java, existe una posible forma de realizar una llamada de emergencia debido a un error de lógica en el código. Esto podría llevar a local con privilegios de ejecución nulos necesarios. La interacción del usuario es nula para la explotación.
Vulnerabilidad en Android de Google (CVE-2025-22436)
Severidad: ALTA
Fecha de publicación: 02/11/2026
Fecha de última actualización: 06/11/2026
En varias ubicaciones, existe una forma posible de engañar a un usuario para que revele el contenido de Autocompletar debido a un ataque de tapjacking/superposición. Esto podría conducir a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se requiere interacción del usuario para la explotación.
Vulnerabilidad en Android de Google (CVE-2025-26433)
Severidad: ALTA
Fecha de publicación: 02/11/2026
Fecha de última actualización: 06/11/2026
En múltiples ubicaciones, existe una forma posible de engañar a un usuario para que acepte un permiso debido a un ataque de tapjacking/superposición. Esto podría conducir a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. Se requiere interacción del usuario para su explotación.