Múltiples vulnerabilidades en Eclipse Milo de Eclipse Foundation
Fecha de publicación 16/10/2026
Identificador
INCIBE-2026-750
Importancia
5 - Crítica
Recursos Afectados
Eclipse Milo, versiones:
- desde la 0.6.0 hasta la 1.1.4;
- algunas vulnerabilidades afectan únicamente a las versiones desde la 1.0.0 hasta la 1.1.4.
Descripción
Abhinav Agarwal ha informado sobre 6 vulnerabilidades: una de severidad crítica, 3 de severidad alta y 2 de severidad media que, en caso de ser explotadas, podrían permitir recuperar credenciales de usuarios, suplantar identidades, ejecutar operaciones no autorizadas, eliminar elementos protegidos, acceder a información de otras sesiones o provocar una denegación de servicio (DoS).
Solución
Actualizar Eclipse Milo a la versión 1.1.5 o posterior.
Las ramas 0.6.x no disponen de una actualización que corrija las vulnerabilidades, por lo que sus usuarios deben migrar a Eclipse Milo 1.1.5 o posterior.
Detalle
- CVE-2026-60007: vulnerabilidad causada por diferencias observables en las respuestas generadas durante el procesamiento de credenciales. Un atacante situado en la ruta de las comunicaciones que capture un token de usuario cifrado podría realizar múltiples solicitudes, recuperar la contraseña de la víctima y autenticarse con sus credenciales.
- CVE-2026-58080: vulnerabilidad de autorización debida a que la función OpcUaServerConfig.copy() no conserva correctamente la configuración RoleMapper. Esto podría permitir que un usuario anónimo lea información de permisos, invoque métodos protegidos o elimine nodos restringidos.
- CVE-2026-62927: vulnerabilidad de autorización incorrecta en el servicio Call. Un atacante anónimo o con pocos privilegios podría agrupar una operación denegada junto con otra permitida para conseguir que se ejecute la operación no autorizada.
- CVE-2026-63252: vulnerabilidad causada por la liberación incorrecta de memoria al interrumpirse una conexión. Un atacante remoto no autenticado podría enviar repetidamente mensajes incompletos y cerrar la conexión para agotar la memoria disponible y detener el servidor.
Para las vulnerabilidades de severidad media se han asignado los identificadores CVE-2026-63248 y CVE-2026-61387.
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-60007 | Crítica | No | ECLIPSE FOUNDATION |
| CVE-2026-58080 | Alta | No | ECLIPSE FOUNDATION |
| CVE-2026-62927 | Alta | No | ECLIPSE FOUNDATION |
| CVE-2026-63252 | Alta | No | ECLIPSE FOUNDATION |
