Dos nuevos avisos de SCI y una actualización

Las vulnerabilidades de severidad crítica se describen a continuación:

• CVE-2025-34187: el servidor Ilevia EVE X1/X5 contiene una configuración incorrecta en el archivo 'sudoers' que permite la ejecución sin contraseña de ciertos scripts de Bash. Si estos scripts son modificables por usuarios web o se puede acceder a ellos mediante inyección de comandos, los atacantes pueden reemplazarlos con cargas maliciosas. La ejecución con sudo otorga acceso root completo, lo que resulta en una escalada remota de privilegios y una posible vulneración del sistema.
• CVE-2025-34186: el servidor Ilevia EVE X1/X5 presenta una vulnerabilidad en su mecanismo de autenticación. Una entrada no saneada se pasa a una llamada system() para la autenticación, lo que permite a los atacantes inyectar caracteres especiales y manipular el análisis de comandos. Debido a que el binario interpreta los códigos de salida distintos de cero como una autenticación exitosa, los atacantes remotos pueden eludir la autenticación y obtener acceso completo al sistema.
• CVE-2025-34184: el servidor Ilevia EVE X1 contiene una vulnerabilidad de inyección de comandos del sistema operativo no autenticados en el script /ajax/php/login.php. Atacantes remotos pueden ejecutar comandos arbitrarios del sistema inyectando cargas útiles en el parámetro HTTP POST "passwd", lo que puede comprometer completamente el sistema o provocar una denegación de servicio.
• CVE-2025-34183: el servidor Ilevia EVE X1 contiene una vulnerabilidad en su mecanismo de registro del lado del servidor que permite a atacantes remotos no autenticados recuperar credenciales de texto plano de archivos .log expuestos. Esta falla permite eludir la autenticación completa y comprometer el sistema mediante la reutilización de credenciales.
• CVE-2025-34513: el firmware del servidor Ilevia EVE X1 contiene una vulnerabilidad de inyección de comandos del sistema operativo en mbus_build_from_csv.php que permite a un atacante no autenticado ejecutar código arbitrario. Ilevia se ha negado a reparar esta vulnerabilidad y recomienda a sus clientes no exponer el puerto 8080 a Internet.

Las vulnerabilidades de severidad alta se describen a continuación:

• CVE-2025-34185: el servidor Ilevia EVE X1 contiene una vulnerabilidad de divulgación de archivos de preautenticación mediante el parámetro POST 'db_log'. Atacantes remotos pueden recuperar archivos arbitrarios del servidor, exponiendo información confidencial del sistema y credenciales.
• CVE-2025-34518: el firmware del servidor Ilevia EVE X1 contiene una vulnerabilidad de recorrido de ruta relativa en get_file_content.php que permite a un atacante leer archivos arbitrarios. Ilevia se ha negado a solucionar esta vulnerabilidad y recomienda a sus clientes no exponer el puerto 8080 a internet.
• CVE-2025-34517: el firmware del servidor Ilevia EVE X1 contiene una vulnerabilidad de cruce de ruta absoluta en get_file_content.php que permite a un atacante leer archivos arbitrarios. Ilevia se ha negado a solucionar esta vulnerabilidad y recomienda a sus clientes no exponer el puerto 8080 a Internet.

Para la vulnerabilidad de severidad media se ha asignado el identificador: CVE-2025-34512.

• CVE-2026-0714:  algunos productos de Moxa que emplean cifrado completo de disco TPM-backed LUKS en Moxa Industrial Linux 3, cuando el TPM discreto está conectado a la CPU mediante un bus SPI, tienen una vulnerabilidad de ataque físico. Para explotar la vulnerabilidad es preciso realizar un acceso físico invasivo, lo que implica abrir el dispositivo y añadir un aparato externo al bus SPI que capture las comunicaciones TPM. Si el ataque tiene éxito, los datos capturados pueden permitir el descifrado offline de los contenidos eMMC. No es posible explotar el ataque el remoto y para hacerlo se necesita no solo tener acceso físico al dispositivo, sino también disponer de unos aparatos adecuados y tiempo suficiente para capturar las señales y analizarlas.
• CVE-2026-0715: los dispositivos Moxa Arm-based que ejecutan Moxa Industrial Linux Secure emplean una contraseña para el gestor de arranque que está almacenada en el dispositivo y es única por dispositivo. Un atacante con acceso físico al dispositivo podría emplear esta información para acceder al menú del gestor de arranque a través de una interfaz serie. Aunque el acceso al menú del gestor de arranque no sirve para obtener un control total del dispositivo o realizar una escalada de privilegios, sí es posible realizar el flasheo de imágenes firmadas por Moxa. En consecuencia, un atacante no puede instalar un firmware malicioso o ejecutar código arbitrario; sin embargo, sí puede provocar denegaciones de servicio temporales si reflashea una imagen válida.

CVE-2024-3596: el protocolo RADIUS bajo RFC 2865 es vulnerable a ataques de falsificación en los productos AFS, AFR y AFF, lo que permitiría a un atacante local alterar cualquier respuesta válida (acceso-aceptación, acceso-rechazo o acceso-desafío) a cualquier otra, mediante el uso de un ataque por colisión de prefijo elegido contra la firma del autenticador de respuesta MD5.