Múltiples vulnerabilidades en TSplus Remote Access
TSplus Remote Access, versión 19.20.3.10. Se ha confirmado que esta versión está afectada, aunque otras versiones anteriores podrían verse afectadas.
INCIBE ha coordinado la publicación de 3 vulnerabilidades, 2 de severidad alta y 1 de severidad media, que afectan a TSplus Remote Access de TSplus, software de acceso remoto y publicación de aplicaciones de Windows que permite a los usuarios conectarse a escritorios y programas desde cualquier lugar y dispositivo. Las vulnerabilidades han sido descubiertas por Javier Medina Munuera.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2026-108070: CVSS v4.0: 8.7 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-552
- CVE-2026-108071: CVSS v4.0: 8.7 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-287
- CVE-2026-108072: CVSS v4.0: 5.4 | CVSS AV:L/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-276
Las vulnerabilidades han sido corregidas por el equipo de TSplus en la última versión.
- CVE-2026-108070: vulnerabilidad de control de acceso incorrecto en el servidor web de TSplus Remote Access que permite a un atacante remoto no autenticado acceder a recursos internos protegidos mediante rutas manipuladas a través del endpoint /socket.io/JWN/, eludiendo las restricciones de acceso previstas para determinados recursos internos.
- CVE-2026-108071: vulnerabilidad de autenticación incorrecta en el mecanismo de autenticación multifactor (MFA) de TSplus Remote Access. Un atacante remoto autenticado con credenciales válidas del primer factor podría eludir la verificación del segundo factor debido a que el flujo de autenticación no aplica correctamente el resultado de la validación MFA, lo que permitiría completar el inicio de sesión sin disponer de un token válido del segundo factor y acceder a aplicaciones y recursos protegidos.
- CVE-2026-108072: vulnerabilidad de permisos incorrectos en los scripts compartidos de inicio de sesión de TSplus Remote Access. Los archivos autostart1.tscr, ubicados en el directorio compartido de temas, permiten la escritura por parte de usuarios sin privilegios suficientes. Un atacante local con una sesión válida en el servidor de terminales o de escritorio remoto podría modificar estos archivos para que se ejecuten comandos arbitrarios en el contexto de seguridad de otro usuario cuando este inicie una sesión con el mismo tema o modo de funcionamiento. Dependiendo de los privilegios del usuario afectado, la explotación podría permitir el movimiento lateral entre usuarios o una escalada de privilegios.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-108070 | Alta | No | TSplus |
| CVE-2026-108071 | Alta | No | TSplus |
| CVE-2026-108072 | Media | No | TSplus |
