Tres nuevos avisos de seguridad
Índice
- Múltiples vulnerabilidades en Portal del Empleado de Summar Software
- Escritura fuera de límites en Firebox de WatchGuard
- Múltiples vulnerabilidades en Telco Intelligent Assurance de HPE
Múltiples vulnerabilidades en Portal del Empleado de Summar Software
Portal del Empleado, versiones anteriores a la 3.98.0.
INCIBE ha coordinado la publicación de 2 vulnerabilidades: 1 de severidad alta y 1 de severidad media, que afectan al Portal del Empleado de Summar Software. Las vulnerabilidades han sido descubiertas por Pedro Gabaldón Juliá, Javier Medina Munuera, Antonio José Gálvez Sánchez, Alejandro Baño Andrés y Álvaro Piñero Laorden.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2025-40677: CVSS v4.0: 8.7 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | CWE-89
- CVE-2025-40678: CVSS v4.0: 5.3 | CVSS AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-434
Las vulnerabilidades han sido solucionadas por el equipo de Summar Software en la versión 3.98.0.
- CVE-2025-40677: vulnerabilidad de inyección SQL en Portal del Empleado de Summar Software. Esta vulnerabilidad permite a un atacante recuperar, crear, actualizar y borrar la base de datos a través del envío de una petición POST utilizando el parámetro 'ctl00$ContentPlaceHolder1$filtroNombre' en '/MemberPages/quienesquien.aspx'.
- CVE-2025-40678: vulnerabilidad de carga no restringida de archivos de tipo peligroso en Portal del Empleado de Summar Software. Esta vulnerabilidad permite a un atacante subir un fichero con tipo peligroso a través del envío de una petición POST utilizando el parámetro 'cctl00$ContentPlaceHolder1$fuAdjunto' en '/MemberPages/ntf_absentismo.aspx'.
Escritura fuera de límites en Firebox de WatchGuard
Las siguientes versiones de Firebox:
- Fireware OS 12.5.x;
- Fireware OS 12.x;
- Fireware OS 2025.1.x;
- Fireware OS 11.10.2 hasta 11.12.4_Update1.
Para consultar la lista detallada de productos afectados, consultar el enlace de las referencias.
WatchGuard ha informado de 1 vulnerabilidad de severidad crítica que puede permitir a un atacante remoto, no autenticado, ejecutar código arbitrario.
Según la versión del producto, actualizarlo a la siguiente versión:
- Versión: 2025.1.X: 2025.1.1.
- Versión: 12.x: 12.11.4.
- Versión: 12.5.x (modelos T15 & T35): 12.5.13.
- Versión: 12.3.1 (FIPS-certified): 12.3.1_Update3 (B722811).
Nota: La versión 11.X ya alcanzó el final de su vida útil (EoL, End of Life) y no será actualizado.
El proceso iked (proceso que se emplea para el intercambio de claves -IKE, Internet Key Exchange-) del sistema operativo WatchGuard Fireware puede permitir a un atacante remoto, no autenticado, ejecutar código arbitrario. Esta vulnerabilidad afecta tanto a la VPN de usuario móvil con IKEv2 como a la VPN de sucursal que utiliza IKEv2 cuando se configura a un par de puerta de enlace dinámica.
Si el Firebox se configuró previamente con la VPN de usuario móvil con IKEv2 o una VPN de sucursal que utiliza IKEv2 a un par de puerta de enlace dinámica, y luego se eliminaron ambas configuraciones, dicho Firebox puede seguir siendo vulnerable si todavía está configurada una VPN de sucursal a un par de puerta de enlace estática.
Se ha asignado el identificador CVE-2025-9242 a esta vulnerabilidad.
Múltiples vulnerabilidades en Telco Intelligent Assurance de HPE
- HPE Telco Intelligent Assurance 5.0.
HPE ha publicado 13 vulnerabilidades: 4 de severidad crítica, 2 de severidad alta y 7 de severidad media, cuya explotación podría permitir a un atacante ejecutar comandos arbitrarios en el servidor (RCE), exfiltrar archivos confidenciales, e inyectar contenido en dichos archivos.
Actualizar a la versión V5.1 del producto, que incluye versiones no vulnerables de los componentes afectados.
- CVE-2025-24813: vulnerabilidad crítica de equivalencia de rutas (Path Equivalence), cuya explotación podría permitir a un atacante de forma remota ver archivos confidenciales, inyectar contenido en ellos y/o ejecutar código de forma remota.
- CVE-2022-1471: vulnerabilidad de deserialización insegura, cuya explotación podría permitir a un atacante de forma remota ejecutar código al deserializar contenido YAML malicioso.
- CVE-2024-50379: vulnerabilidad de condición de carrera (TOCTOU), cuya explotación podría permitir a un atacante de forma remota ejecutar código en sistemas de archivos insensibles a mayúsculas/minúsculas cuando el servlet predeterminado está habilitado para escritura.
- CVE-2024-56337: vulnerabilidad de condición de carrera (TOCTOU), cuya explotación podría permitir a un atacante de forma remota ejecutar código en sistemas de archivos insensibles a mayúsculas/minúsculas cuando el servlet predeterminado está habilitado para escritura. Se trata de mitigación adicional de la vulnerabilidad CVE-2024-50379 que se resolvía de forma incompleta.
Se han asignado los identificadores CVE-2022-25857 y CVE-2021-47621 para las vulnerabilidades de severidad alta. El detalle de estas vulnerabilidades, así como del resto de vulnerabilidades de severidad media, se puede consultar en el aviso de las referencias.