Permisos incorrectos en ArubaSign de Aruba
ArubaSign, versiones anteriores a la v4.6.6.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta, que afecta a ArubaSign de Aruba, aplicación de escritorio para firmar digitalmente, verificar documentos y aplicar marcas de tiempo. La vulnerabilidad ha sido descubierta por Andrea Intilangelo (acme).
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-12602: CVSS v4.0:8.8 | CVSS AV:L/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H | CWE-276
No hay solución reportada por el momento.
CVE-2026-12602: permisos predeterminados incorrectos en ArubaSign, que afecta a versiones anteriores a v4.6.6. La vulnerabilidad es provocada por la asignación de permisos inadecuados durante la instalación predeterminada del software, en la que el ejecutable principal y otros archivos del programa ubicados en C:\Archivos de programa, tienen permisos excesivos para el grupo ‘Todos’. Esto podría permitir a un usuario sin privilegios sustituir el ejecutable principal y/o sus componentes por un archivo malicioso, lo que permitiría la ejecución de código arbitrario. En el peor de los casos, si el código malicioso se ejecuta con privilegios elevados (como los de Administrador o SYSTEM), el atacante podría escalar privilegios y tomar el control total del sistema, comprometiendo tanto la seguridad como la integridad de los datos.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-12602 | Alta | No | Aruba |
