Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en Trellix Endpoint Agent (CVE-2022-4326)
    Severidad: MEDIA
    Fecha de publicación: 16/12/2022
    Fecha de última actualización: 09/11/2026
    La vulnerabilidad de preservación inadecuada de permisos en Trellix Endpoint Agent (xAgent) anterior a V35.31.22 en Windows permite a un usuario local con privilegios de administrador omitir la protección del producto para desinstalar el agente mediante permisos aplicados incorrectamente en la funcionalidad de protección de eliminación.
  • Vulnerabilidad en FIPS OpenSSL (CVE-2024-4603)
    Severidad: MEDIA
    Fecha de publicación: 16/05/2024
    Fecha de última actualización: 09/11/2026
    Resumen del problema: la comprobación de claves o parámetros DSA excesivamente largos puede resultar muy lenta. Resumen de impacto: las aplicaciones que utilizan las funciones EVP_PKEY_param_check() o EVP_PKEY_public_check() para comprobar una clave pública de DSA o parámetros de DSA pueden experimentar grandes retrasos. Cuando la clave o los parámetros que se están verificando se obtuvieron de una fuente que no es confiable, esto puede dar lugar a una Denegación de Servicio. Las funciones EVP_PKEY_param_check() o EVP_PKEY_public_check() realizan varias comprobaciones de los parámetros DSA. Algunos de esos cálculos toman mucho tiempo si el módulo (parámetro `p`) es demasiado grande. Intentar utilizar un módulo muy grande es lento y OpenSSL no permitirá el uso de claves públicas con un módulo de más de 10.000 bits de longitud para la verificación de firmas. Sin embargo, las funciones de verificación de claves y parámetros no limitan el tamaño del módulo al realizar las verificaciones. Una aplicación que llama a EVP_PKEY_param_check() o EVP_PKEY_public_check() y proporciona una clave o parámetros obtenidos de una fuente que no es de confianza podría ser vulnerable a un ataque de denegación de servicio. OpenSSL no llama a estas funciones en claves DSA que no son de confianza, por lo que solo las aplicaciones que llaman directamente a estas funciones pueden ser vulnerables. También son vulnerables las aplicaciones de línea de comandos OpenSSL pkey y pkeyparam cuando se usa la opción `-check`. La implementación de OpenSSL SSL/TLS no se ve afectada por este problema. Los proveedores FIPS OpenSSL 3.0 y 3.1 se ven afectados por este problema.
  • Vulnerabilidad en OpenSSL Software Foundation (CVE-2024-9143)
    Severidad: ALTA
    Fecha de publicación: 16/10/2024
    Fecha de última actualización: 09/11/2026
    Resumen del problema: el uso de las API de curva elíptica GF(2^m) de bajo nivel con valores explícitos no confiables para el campo polinomial puede generar lecturas o escrituras de memoria fuera de los límites. Resumen del impacto: las escrituras de memoria fuera de los límites pueden generar un bloqueo de la aplicación o incluso la posibilidad de una ejecución de código remoto; sin embargo, en todos los protocolos que involucran criptografía de curva elíptica que conocemos, solo se admiten "curvas con nombre" o, si se admiten parámetros de curva explícitos, especifican una codificación X9.62 de curvas binarias (GF(2^m)) que no pueden representar valores de entrada problemáticos. Por lo tanto, la probabilidad de existencia de una aplicación vulnerable es baja. En particular, la codificación X9.62 se utiliza para claves ECC en certificados X.509, por lo que no pueden ocurrir entradas problemáticas en el contexto del procesamiento de certificados X.509. Cualquier caso de uso problemático tendría que utilizar una codificación de curva "exótica". Las API afectadas incluyen: EC_GROUP_new_curve_GF2m(), EC_GROUP_new_from_params() y varias funciones de soporte BN_GF2m_*(). Las aplicaciones que trabajan con parámetros de curva binarios explícitos "exóticos" (GF(2^m)), que permiten representar polinomios de campo no válidos con un término constante cero, a través de las API anteriores o similares, pueden terminar abruptamente como resultado de la lectura o escritura fuera de los límites de la matriz. La ejecución remota de código no se puede descartar fácilmente. Los módulos FIPS en 3.3, 3.2, 3.1 y 3.0 no se ven afectados por este problema.
  • Vulnerabilidad en OpenSSL SSL_free_buffers (CVE-2024-4741)
    Severidad: CRÍTICA
    Fecha de publicación: 13/11/2024
    Fecha de última actualización: 09/11/2026
    Resumen del problema: Llamar a la función de API de OpenSSL SSL_free_buffers puede provocar que se acceda a la memoria que se liberó previamente en algunas situaciones Resumen del impacto: Un use after free puede tener una variedad de posibles consecuencias, como la corrupción de datos válidos, fallas o ejecución de código arbitrario. Sin embargo, solo las aplicaciones que llaman directamente a la función SSL_free_buffers se ven afectadas por este problema. Las aplicaciones que no llaman a esta función no son vulnerables. Nuestras investigaciones indican que las aplicaciones rara vez usan esta función. La función SSL_free_buffers se usa para liberar el búfer interno de OpenSSL que se usa al procesar un registro entrante de la red. Solo se espera que la llamada tenga éxito si el búfer no está actualmente en uso. Sin embargo, se han identificado dos escenarios en los que el búfer se libera incluso cuando todavía está en uso. El primer escenario ocurre cuando se recibió un encabezado de registro de la red y OpenSSL lo procesó, pero aún no llegó el cuerpo completo del registro. En este caso, llamar a SSL_free_buffers tendrá éxito incluso si un registro solo se procesó parcialmente y el búfer todavía está en uso. El segundo escenario ocurre cuando OpenSSL ha recibido y procesado un registro completo que contiene datos de la aplicación, pero la aplicación solo ha leído parte de estos datos. Nuevamente, una llamada a SSL_free_buffers tendrá éxito aunque el búfer aún esté en uso. Si bien estos escenarios podrían ocurrir accidentalmente durante el funcionamiento normal, un atacante malintencionado podría intentar crear una situación en la que esto ocurra. No tenemos conocimiento de que este problema se esté explotando activamente. Los módulos FIPS en 3.3, 3.2, 3.1 y 3.0 no se ven afectados por este problema.
  • Vulnerabilidad en enableSystemPackageLPw (CVE-2026-0011)
    Severidad: ALTA
    Fecha de publicación: 02/03/2026
    Fecha de última actualización: 09/11/2026
    En enableSystemPackageLPw de Settings.java, existe una posible forma de evitar que el acceso a la ubicación funcione debido a un error de lógica en el código. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
  • Vulnerabilidad en isPackageNullOrSystem de AppOpsService.java (CVE-2026-0014)
    Severidad: MEDIA
    Fecha de publicación: 02/03/2026
    Fecha de última actualización: 09/11/2026
    En isPackageNullOrSystem de AppOpsService.java, existe una posible denegación de servicio persistente debido a una validación de entrada incorrecta. Esto podría llevar a una denegación de servicio local sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para su explotación.
  • Vulnerabilidad en onChange de BiometricService.java (CVE-2026-0017)
    Severidad: ALTA
    Fecha de publicación: 02/03/2026
    Fecha de última actualización: 09/11/2026
    En el onChange de BiometricService.java, existe una posible forma de habilitar el desbloqueo por huella dactilar debido a un error de lógica en el código. Esto podría llevar a una escalada local de privilegios sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
  • Vulnerabilidad en Android de Google (CVE-2026-0016)
    Severidad: BAJA
    Fecha de publicación: 01/06/2026
    Fecha de última actualización: 09/11/2026
    En updateProvidersWhenServiceRemoved de CredentialManagerService.java, existe una posible forma de anular la configuración entre usuarios debido a una omisión de permisos. Esto podría llevar a una revelación de información local sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
  • Vulnerabilidad en Android de Google (CVE-2026-0018)
    Severidad: MEDIA
    Fecha de publicación: 01/06/2026
    Fecha de última actualización: 09/11/2026
    En múltiples funciones de AccessibilityManagerService.java, existe una posible denegación de servicio persistente debido a una validación de entrada incorrecta. Esto podría llevar a una denegación de servicio local sin necesidad de privilegios de ejecución adicionales. No se necesita interacción del usuario para la explotación.
  • Vulnerabilidad en Oracle SDP Number Portability de Oracle Corporation (CVE-2026-70799)
    Severidad: ALTA
    Fecha de publicación: 18/08/2026
    Fecha de última actualización: 09/11/2026
    Vulnerabilidad en el producto Oracle SDP Number Portability de Oracle E-Business Suite (componente: Operaciones Internas). Las versiones compatibles que se ven afectadas son 12.2.3-12.2.15. Una vulnerabilidad fácilmente explotable permite a un atacante no autenticado con acceso a la red a través de HTTP comprometer Oracle SDP Number Portability. Los ataques exitosos de esta vulnerabilidad pueden resultar en acceso no autorizado a datos críticos o acceso completo a todos los datos accesibles de Oracle SDP Number Portability. Puntuación Base CVSS 3.1 de 7.5 (Impactos en la Confidencialidad). Vector CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N).
  • Vulnerabilidad en Oracle SDP Number Portability de Oracle Corporation (CVE-2026-70800)
    Severidad: ALTA
    Fecha de publicación: 18/08/2026
    Fecha de última actualización: 09/11/2026
    Vulnerabilidad en el producto Oracle SDP Number Portability de Oracle E-Business Suite (componente: Operaciones Internas). Las versiones soportadas que están afectadas son 12.2.3-12.2.15. La vulnerabilidad fácilmente explotable permite a un atacante con altos privilegios con inicio de sesión en la infraestructura donde se ejecuta Oracle SDP Number Portability comprometer Oracle SDP Number Portability. Aunque la vulnerabilidad está en Oracle SDP Number Portability, los ataques pueden tener un impacto significativo en productos adicionales (cambio de alcance). Los ataques exitosos de esta vulnerabilidad pueden resultar en acceso no autorizado de creación, eliminación o modificación a datos críticos o a todos los datos accesibles de Oracle SDP Number Portability, así como acceso de lectura no autorizado a un subconjunto de datos accesibles de Oracle SDP Number Portability y capacidad no autorizada para causar una denegación de servicio parcial (DoS parcial) de Oracle SDP Number Portability. Puntuación Base CVSS 3.1 7.3 (impactos en Confidencialidad, Integridad y Disponibilidad). Vector CVSS: (CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:L/I:H/A:L).
  • Vulnerabilidad en OpenSSH de OpenBSD (CVE-2026-123158)
    Severidad: ALTA
    Fecha de publicación: 05/11/2026
    Fecha de última actualización: 09/11/2026
    sshd en OpenSSH anterior a la versión 10.6p2 en Linux, cuando se utiliza musl libc sin PAM, carece de una solución alternativa para una omisión de autenticación de contraseña (relacionado con la mala interpretación de si una cadena está destinada a ser un hash de contraseña). Para algunas configuraciones de cuentas, cualquier contraseña entre 256 y 1024 caracteres tiene éxito. Un ejemplo de plataforma que utiliza musl libc sin PAM es Alpine Linux.