Dos nuevos avisos de seguridad y una actualización

CVE-2025-41066: Groupware v5.2.22 de Horde presenta una vulnerabilidad de enumeración de usuarios que permite a un atacante no autenticado determinar la existencia de cuentas válidas en el sistema. Para explotar la vulnerabilidad se debe enviar una petición HTTP a ‘/imp/attachment.php’ incluyendo los parámetros ‘id’ y ‘u’. Si el usuario especificado existe, el servidor devolverá la descarga de un archivo vacío; si no existe, no se iniciará ninguna descarga, lo que revela de forma inequívoca la validez del usuario.

• CVE-2025-48623: vulnerabilidad sobre la dirección no alineada del búfer de solicitud de hipervisor para evitar derrames en la página adyacente.
• CVE-2025-48624: vulnerabilidad de asignación de punteros L2 se debe comprobar el SID y la falta de un igual para las comprobaciones de SID.
• CVE-2025-48637: vulnerabilidad en la copia local de los datos proporcionados por el host con el fin de evitar un error de tiempo de verificación de uso al utilizar páginas al hipervisor Memcache.
• CVE-2025-48638: vulnerabilidad en la lectura de valores negativos del descriptor de seguimiento.
• CVE-2025-48631: vulnerabilidad en AOSP que podría provocar una denegación de servicio remota sin necesidad de privilegios de ejecución adicionales.
• CVE-2025-47319 y CVE-2025-47372: estas vulnerabilidades afectan a los componentes de código cerrado de Qualcomm.

Las vulnerabilidades de severidad crítica son:

• CVE-2024-45337: en la librería golang.org/x/crypto existe un mal uso de la devolución de llamada 'ServerConfig.PublicKeyCallback'. Debido a esto, una aplicación podría hacer decisiones de autorización basadas en una clave pública para la que el atacante no controla la privada, provocando una omisión de autorización.
• CVE-2022-2068: en el script 'c_rehash' de OpenSSL se detectó que no depura correctamente caracteres especiales del shell, permitiendo la ejecución de comandos arbitrarios con los privilegios del script. Afecta versiones 3.0.0-3.0.3, 1.1.1o, 1.0.2ze, según el entorno.
• CVE-2022-1292: en el script 'c_rehash' de OpenSSL, exite un fallo de inyección de comandos debido a que el script no depura correctamente caracteres de metacomando del shell. En sistemas donde se ejecuta automáticamente, un atacante podría ejecutar comandos con los privilegios del script.
• CVE-2025-4517: en el módulo tarfile de Python se ha detectado que la función 'extractall()' o 'extract()' con filter="data" o filter="tar" podría permitir la escritura arbitraria fuera del directorio de extracción al procesar archivos TAR no confiables.
• CVE-2025-22871: el paquete net/http acepta incorrectamente un salto de línea (LF) sin formato como terminador de línea en líneas de datos fragmentados. Esto podría permitir el contrabando de solicitudes si se utiliza un servidor net/http junto con un servidor que acepta incorrectamente un salto de línea sin formato como parte de una extensión de fragmento.
• CVE-2024-21896: en el modelo experimental de permisos de Node.js la protección contra path traversal se subvertía mediante la modificación de Buffer.prototype.utf8Write, permitiendo que rutas manipuladas escapen del directorio seguro.
• CVE-2023-39332: en el modelo experimental de permisos de Node.js, varias funciones de node:fs permiten rutas especificadas como Uint8Array en lugar de Buffer o cadena, lo que no estaba correctamente controlado y habilita path traversal.
• CVE-2025-55754: en Apache Tomcat hay una vulnerabilidad de neutralización inadecuada de secuencias de escape ANSI en los mensajes de log. Al ejecutarse la consola en Windows y aceptar estas secuencias, un atacante podría inyectar comandos o manipular el portapapeles u otros efectos de consola.
• CVE-2025-55315: en ASP.NET Core se identificó una vulnerabilidad de interpretación inconsistente de peticiones HTTP. Un atacante autorizado podría evadir funciones de seguridad de red.
• CVE-2025-24293: en Ruby on Rails se permitían métodos de transformación de imágenes potencialmente inseguros al aceptar directamente la entrada del usuario, lo que posibilita la inyección de comandos al procesar imágenes con mini_magick.