Cuatro nuevos avisos de seguridad
Índice
- Acceso indebido a ficheros en productos de T-Systems
- Inyección de comandos del sistema operativo en Core Privileged Access Manager (BoKS) de Fortra
- Omisión de autenticación en SimpleHelp
- Fijación de sesión en osTicket de Enhancesoft
Acceso indebido a ficheros en productos de T-Systems
Los siguientes productos de la suite TAO 2.0, en sus versiones anteriores a la 2602.00, están afectados:
- Archivo;
- MyTAO;
- eStima;
- Buroweb.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media, que afecta a varios productos de la suite TAO 2.0, una plataforma de gestión para la administración pública. La vulnerabilidad ha sido descubierta por el equipo interno de seguridad de T-Systems.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-7185: CVSS v4.0: 6.0 | CVSS AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-22
La vulnerabilidad, reportada por el propio equipo de T-Systems, ha sido corregida en la versión 2602.0.0 de los productos afectados. La recomendación general es actualizar a dicha versión o a cualquier versión posterior que incorpore estas correcciones.
CVE-2026-7185: se ha identificado una debilidad de validación en determinadas funcionalidades web relacionadas con la gestión o inclusión de ficheros en varios productos de la suite TAO 2.0. Esta debilidad podría permitir que un atacante con capacidad de interacción con la funcionalidad afectada intentase acceder a recursos del sistema de ficheros fuera del ámbito previsto por la aplicación.
Inyección de comandos del sistema operativo en Core Privileged Access Manager (BoKS) de Fortra
- boks-server 8.1.0.0 hasta 8.1.0.22;
- boks-server 9.0.0.0 hasta 9.0.0.4.
Fortra ha publicado una vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permitir la ejecución de código arbitrario, afectando a la confidencialidad, integridad y disponibilidad de los sistemas afectados.
El fabricante recomienda aplicar las correcciones disponibles mediante las versionas corregidas del producto cuando estén disponibles.
Como medida de mitigación temporal, se recomienda restringir el acceso de red al servicio boks_autoregisterd, que utiliza por defecto el puerto TCP/6507, hasta que se hayan desplegado las versiones corregidas. Como alternativa, para instalaciones de boks-server 8.1 y 9.0, se puede deshabilitar el servicio modificando la configuración de boksinit en el servidor BoKS Master.
CVE-2026-9862: vulnerabilidad de inyección de comandos del sistema operativo en el servicio boks_autoregisterd de Fortra Core Privileged Access Manager (BoKS). Esta vulnerabilidad permite que un atacante remoto con acceso de red al servicio afectado pueda enviar entradas manipuladas durante el proceso de autoregistro, provocando la ejecución de comandos arbitrarios con los privilegios del servicio vulnerable.
Omisión de autenticación en SimpleHelp
- versiones 5.5.15 y anteriores;
- versión preliminar de la 6.0.
Zach Hanley de Horizon3.ai ha publicado información sobre una vulnerabilidad de severidad crítica que podría permitir a un atacante la omisión de la autenticación multifactor.
Actualizar:
- SimpleHelp 5.5.16: para usuarios de la versión 5.5.x.
- SimpleHelp 6.0 RC2: para usuarios de la versión 6.0.
CVE-2026-48558: omisión de autenticación en el software de soporte remoto SimpleHelp. El fallo reside en el flujo de autenticación OIDC (OpenID Connect), donde la aplicación no verifica criptográficamente los tokens de identidad enviados durante el inicio de sesión. Esto permite que un atacante remoto no autenticado falsifique un token con declaraciones de identidad arbitrarias, obteniendo así una sesión de técnico completamente autenticada. En ciertas configuraciones, esta omisión también puede eludir la autenticación multifactor (MFA).
Fijación de sesión en osTicket de Enhancesoft
osTicket v1.18.2.
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a osTicket de Enhancesoft, un sistema de gestión de tickets de soporte técnico, gratuito y de código abierto. La vulnerabilidad ha sido descubierta por Mario Valiente.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-9507: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-38
El código fuente actual (legacy) se encuentra en modo de mantenimiento, mientras que Enhancesoft se centra en una reescritura completa del código (v2.0). Esto significa que los ciclos de lanzamiento y las revisiones de seguridad del código legacy se han alargado considerablemente.
CVE-2026-9507: se ha identificado una vulnerabilidad de fijación de sesión en osTicket v1.18.2.Este fallo de seguridad permite a un atacante secuestrar la cuenta de una víctima al mantener activo el identificador de sesión inicial (OSTSESSID) después de un inicio de sesión exitoso.
El problema reside en que la aplicación no invalida la cookie de preautenticación ni genera un nuevo identificador para el contexto autenticado. Como resultado, si un atacante logra establecer un identificador de sesión conocido en el navegador de la víctima, podrá mantener el acceso no autorizado a la cuenta una vez que esta se autentique.