Bypass en el método de autenticación del aplicativo Sistema de Información Tributario de GTT
Sistema de Información Tributario.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad crítica que afecta al aplicativo del Sistema de Información Tributario de GTT, una solución tecnológica que da respuesta a la gestión tributaria integral en la Administración, la cual ha sido descubierta por Julian J. Menéndez de Hispasec.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
CVE-2025-13953: CVSS v4.0: 9.3 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N | CWE-290
La vulnerabilidad ha sido corregida deshabilitando el método de autenticación mediante Active Directory (LDAP). La vulnerabilidad ya no es explotable en estos momentos.
CVE-2025-13953: vulnerabilidad de bypass en el método de autenticación en la aplicación Sistema de Información Tributario de GTT, relacionada con el método de inicio de sesión mediante Active Directory (LDAP).
La autenticación se realiza a través de un WebSocket local, pero la aplicación web no valida adecuadamente la autenticidad ni el origen de los datos recibidos, lo que permite que un atacante con acceso a la máquina local o a la red interna pueda suplantar el WebSocket legítimo e inyectar información manipulada.
La explotación de esta vulnerabilidad podría permitir a un atacante autenticarse como cualquier usuario del dominio, sin necesidad de credenciales válidas, comprometiendo la confidencialidad, integridad y disponibilidad de la aplicación y sus datos.
