Vulnerabilidad en parsec-cloud de Scille (CVE-2025-62514)

Parsec es una aplicación basada en la nube para el intercambio de archivos criptográficamente seguro. En versiones de la rama 3.x anteriores a la 3.6.0, 'libparsec_crypto', un componente de la aplicación Parsec, no verifica los puntos de orden débil de Curve25519 cuando se compila con su backend RustCrypto. En la práctica, esto significa que un atacante en una posición de man-in-the-middle podría proporcionar puntos de orden débil a ambas partes en el intercambio Diffie-Hellman, lo que resultaría en una alta probabilidad de que ambas partes obtengan la misma clave compartida (lo que llevaría a un intercambio exitoso de código SAS, engañando a ambas partes para que piensen que no ha ocurrido ningún MitM) y que también es conocida por el atacante. Tenga en cuenta que solo Parsec web se ve afectado (ya que Parsec desktop utiliza 'libparsec_crypto' con el backend libsodium). La versión 3.6.0 de Parsec corrige el problema.