Vulnerabilidad en ETQ Reliance (CVE-2025-34143)

Gravedad CVSS v4.0:

CRÍTICA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

22/07/2025

Última modificación:

04/11/2025

Descripción

Existe una vulnerabilidad de omisión de autenticación en ETQ Reliance en la plataforma CG (legacy). La aplicación permitía iniciar sesión como el usuario interno privilegiado del SYSTEM manipulando el campo de nombre de usuario. La cuenta de SYSTEM no requiere contraseña, lo que permite a los atacantes con acceso de red a la página de inicio de sesión obtener acceso elevado. Una vez autenticado, un atacante podría ejecutar código remoto modificando scripts Jython dentro de la aplicación. Este problema se resolvió introduciendo una lógica de validación más estricta para excluir las cuentas internas de los flujos de trabajo de autenticación públicos en la versión MP-4583.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 9.30 CRÍTICA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

9.30

Gravedad 4.0

CRÍTICA

Vulnerabilidad en ETQ Reliance (CVE-2025-34143)

Descripción

Impacto

Referencias a soluciones, herramientas e información