diff --git a/informe_vulnerabilidades.md b/informe_vulnerabilidades.md new file mode 100644 index 0000000..f7fdaeb --- /dev/null +++ b/informe_vulnerabilidades.md @@ -0,0 +1,163 @@ +# Informe Ejecutivo de Vulnerabilidades + +**Generado en:** 2026-08-11T15:40:58.463Z | **Fuentes:** ENISA + +**Grupo de Software Libre - Área de Plataformas** + +* **Informes consolidados:** 10 +* **Vulnerabilidades analizadas:** 13 +* **Aplicables:** 13 +* **No aplicables:** 0 +* **Revisión manual:** 0 + +## Resumen por objetivo + +| Fuente | Producto | Versión | Analizadas | Aplicables | No aplicables | Revisión manual | +|---|---|---|---|---|---|---| +| ENISA | Tomcat | 9.0.119 | 4 | 4 | 0 | 0 | +| ENISA | Tomcat | 11.0.23 | 4 | 4 | 0 | 0 | +| ENISA | Jenkins | 2.504.3 | 0 | 0 | 0 | 0 | +| ENISA | Harbor | 2.11.0 | 0 | 0 | 0 | 0 | +| ENISA | Openjdk | 21.0.21 | 1 | 1 | 0 | 0 | +| ENISA | Openjdk | 1.8.0 | 1 | 1 | 0 | 0 | +| ENISA | GitLab CE | 19.1.1 | 2 | 2 | 0 | 0 | +| ENISA | Nginx | 1.30.3 | 0 | 0 | 0 | 0 | +| ENISA | Artemis | 2.54.0 | 0 | 0 | 0 | 0 | +| ENISA | JasperReports | 10.0.0 | 1 | 1 | 0 | 0 | + +## Detalle de Vulnerabilidades Aplicables + + +### [**CRÍTICA**] - EUVD-2026-49849 - CVE-2026-66713 + +* **Producto / Versión:** `Tomcat` (v`9.0.119`) | **Fuente:** ENISA +* **BaseScore:** 9.8 3.1 +* **Regla versión:** Afecta rama v9.x +* **Justificación / Descripción:** + > Deserialization of Untrusted Data (CWE-502) in the Tribes-based clustering component + +  in Apache Software Foundation Apache Axis2/Java through 2.0.0 on Apache Tomcat + +  (only when... + + +### [**CRÍTICA**] - EUVD-2026-49849 - CVE-2026-66713 + +* **Producto / Versión:** `Tomcat` (v`11.0.23`) | **Fuente:** ENISA +* **BaseScore:** 9.8 3.1 +* **Regla versión:** Afecta rama v11.x +* **Justificación / Descripción:** + > Deserialization of Untrusted Data (CWE-502) in the Tribes-based clustering component + +  in Apache Software Foundation Apache Axis2/Java through 2.0.0 on Apache Tomcat + +  (only when... + + +### [**CRÍTICA**] - EUVD-2026-55673 - CVE-2026-47754 + +* **Producto / Versión:** `Tomcat` (v`9.0.119`) | **Fuente:** ENISA +* **BaseScore:** 9.3 3.1 +* **Regla versión:** Afecta rama v9.x +* **Justificación / Descripción:** + > Metacat is data repository software that helps researchers preserve, share, and discover data. Versions 2.x through 2.19.1 and all 1.x versions contain an unauthenticated path trav... + + +### [**CRÍTICA**] - EUVD-2026-55673 - CVE-2026-47754 + +* **Producto / Versión:** `Tomcat` (v`11.0.23`) | **Fuente:** ENISA +* **BaseScore:** 9.3 3.1 +* **Regla versión:** Afecta rama v11.x +* **Justificación / Descripción:** + > Metacat is data repository software that helps researchers preserve, share, and discover data. Versions 2.x through 2.19.1 and all 1.x versions contain an unauthenticated path trav... + + +### [**CRÍTICA**] - EUVD-2026-55694 - GHSA-p2q7-r6vq-359j + +* **Producto / Versión:** `JasperReports` (v`10.0.0`) | **Fuente:** ENISA +* **BaseScore:** 9.3 4.0 +* **Regla versión:** Afecta rama v10.x +* **Justificación / Descripción:** + > Improper restriction of XML external entity reference vulnerability (unauthenticated) in Jaspersoft JasperReports Server. + +This issue affects JasperReports Server: from 9.0.0 befor... + + +### [**CRÍTICA**] - EUVD-2026-43640 - CVE-2026-59084 + +* **Producto / Versión:** `Tomcat` (v`9.0.119`) | **Fuente:** ENISA +* **BaseScore:** 9.1 3.1 +* **Regla versión:** Afecta rama v9.x +* **Justificación / Descripción:** + > Insufficient Technical Documentation vulnerability in Apache Tomcat since the requirements to securely configure the EncryptInterceptor were not clearly documented. + +This issue aff... + + +### [**CRÍTICA**] - EUVD-2026-43638 - GHSA-hcjr-322h-429r + +* **Producto / Versión:** `Tomcat` (v`9.0.119`) | **Fuente:** ENISA +* **BaseScore:** 9.1 3.1 +* **Regla versión:** Afecta rama v9.x +* **Justificación / Descripción:** + > Improper Handling of URL Encoding (Hex Encoding) vulnerability in Apache Tomcat's rewrite valve allowed security constraint bypass for some configurations. + +This issue affects Apac... + + +### [**CRÍTICA**] - EUVD-2026-43640 - CVE-2026-59084 + +* **Producto / Versión:** `Tomcat` (v`11.0.23`) | **Fuente:** ENISA +* **BaseScore:** 9.1 3.1 +* **Regla versión:** Afecta rama v11.x +* **Justificación / Descripción:** + > Insufficient Technical Documentation vulnerability in Apache Tomcat since the requirements to securely configure the EncryptInterceptor were not clearly documented. + +This issue aff... + + +### [**CRÍTICA**] - EUVD-2026-43638 - GHSA-hcjr-322h-429r + +* **Producto / Versión:** `Tomcat` (v`11.0.23`) | **Fuente:** ENISA +* **BaseScore:** 9.1 3.1 +* **Regla versión:** Afecta rama v11.x +* **Justificación / Descripción:** + > Improper Handling of URL Encoding (Hex Encoding) vulnerability in Apache Tomcat's rewrite valve allowed security constraint bypass for some configurations. + +This issue affects Apac... + + +### [**ALTA**] - EUVD-2026-50484 - CVE-2026-6267 + +* **Producto / Versión:** `GitLab CE` (v`19.1.1`) | **Fuente:** ENISA +* **BaseScore:** 8.5 3.1 +* **Regla versión:** Afecta rama v19.x +* **Justificación / Descripción:** + > GitLab has remediated an issue in GitLab CE/EE affecting all versions from 10.1.0 before 19.0.5, 19.1 before 19.1.3, and 19.2 before 19.2.1 that under certain conditions could have... + + +### [**ALTA**] - EUVD-2026-50482 - GHSA-94p8-87ff-w336 + +* **Producto / Versión:** `GitLab CE` (v`19.1.1`) | **Fuente:** ENISA +* **BaseScore:** 8.4 3.1 +* **Regla versión:** Afecta rama v19.x +* **Justificación / Descripción:** + > GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.0 before 19.0.5, 19.1 before 19.1.3, and 19.2 before 19.2.1 that under certain conditions could have a... + + +### [**ALTA**] - EUVD-2026-55984 - CVE-2026-15560 + +* **Producto / Versión:** `Openjdk` (v`21.0.21`) | **Fuente:** ENISA +* **BaseScore:** 8.1 3.1 +* **Regla versión:** Afecta rama v21.x +* **Justificación / Descripción:** + > when EAP runs with -secmgr, the openjdk-orb's JDKBridge honours attacker-supplied CDR codebase URLs during object unmarshalling on :3528, allowing an unauthenticated attacker to lo... + + +### [**ALTA**] - EUVD-2026-55984 - CVE-2026-15560 + +* **Producto / Versión:** `Openjdk` (v`1.8.0`) | **Fuente:** ENISA +* **BaseScore:** 8.1 3.1 +* **Regla versión:** Afecta rama v1.x +* **Justificación / Descripción:** + > when EAP runs with -secmgr, the openjdk-orb's JDKBridge honours attacker-supplied CDR codebase URLs during object unmarshalling on :3528, allowing an unauthenticated attacker to lo... diff --git a/informe_vulnerabilidades.pdf b/informe_vulnerabilidades.pdf new file mode 100644 index 0000000..e57f036 Binary files /dev/null and b/informe_vulnerabilidades.pdf differ