Tres nuevos avisos de SCI
Índice
- Múltiples vulnerabilidades en productos de Ashlar-Vellum
- Múltiples vulnerabilidades en TCIV-3+ de Zenitel
- Falta de autenticación en SMART Alert (SiSA) de SiRcom
Múltiples vulnerabilidades en productos de Ashlar-Vellum
- Cobalt: versiones 12.6.1204.207 y anteriores;
- Xenon: versiones 12.6.1204.207 y anteriores;
- Argon: versiones 12.6.1204.207 y anteriores;
- Lithium: versiones 12.6.1204.207 y anteriores;
- Cobalt Share: versiones 12.6.1204.207 y anteriores.
Michael Heinzl ha informado sobre 2 vulnerabilidades de severidad alta que podrían permitir a un atacante revelar información o ejecutar código arbitrario.
Ashlar-Vellum recomienda a los usuarios actualizar a las siguientes versiones:
- Cobalt: versiones 12.6.1204.208 o superiores.
- Xenon: versiones 12.6.1204.208 o superiores.
- Argon: versiones 12.6.1204.208 o superiores.
- Litio: versiones 12.6.1204.208 o superiores.
- Cobalt Share: versiones 12.6.1204.208 o superiores.
- CVE-2025-65084: vulnerabilidad de escritura fuera de límites, podría permitir a un atacante divulgar información o ejecutar código arbitrario.
- CVE-2025-65085: vulnerabilidad de desbordamiento de búfer basada en el montículo, podría permitir a un atacante divulgar información o ejecutar código arbitrario.
Múltiples vulnerabilidades en TCIV-3+ de Zenitel
TCIV-3+: todas las versiones anteriores a 9.3.3.0.
Nir Tepper y Noam Moshe de Claroty Team82 han reportado 5 vulnerabilidades; 4 de severidad crítica y 1 alta. Explotar estas vulnerabilidades permitiría a un atacante inyectar comandos en el sistema operativo, escribir fuera de los límites establecidos, ejecución de código arbitrario y causar una condición de denegación de servicio.
Zenitel recomienda a los usuarios actualizar a la versión 9.3.3.0 o posterior.
CVE-2025-64126: inyección de comandos dentro del sistema operativo causado por la incorrecta validación de la entrada del usuario. La aplicación admite un parámetro directamente de la entrada del usuario sin comprobar la dirección IP ni filtrar caracteres que pudieran ser maliciosos.
CVE-2025-64127: inyección de comandos dentro del sistema operativo causado por no eliminar correctamente la entrada del usuario. La aplicación acepta parámetros que posteriormente se incorporan a los comandos del sistema operativo sin la validación adecuada.
CVE-2025-64128: inyección de comandos dentro del sistema operativo causado por la incorrecta validación de la entrada del usuario. La validación no aplica suficientes reglas de formato, lo que podría posibilitar a los atacantes la inclusión de datos arbitrarios.
Estas tres vulnerabilidades podrían permitir a un atacante no autenticado inyectar comandos arbitrarios.
CVE-2025-64129: escritura fuera de límites que permitiría a un atacante remoto poder bloquear el dispositivo.
CVE-2025-64130: vulnerabilidad sobre la ejecución de scripts reflejados (RCE) que permitiría a un atacante remoto ejecutar JavaScript arbitrario en el navegador de la víctima.
Falta de autenticación en SMART Alert (SiSA) de SiRcom
Alerta SMART (SiSA): versión 3.0.48.
Souvik Kandar of Microsec (microsec.io) ha reportado sobre 1 vulnerabilidad de severidad alta que está relacionada con la falta de autenticación en funciones críticas. Explotar esta vulnerabilidad podría permitir a un atacante activar o manipular de forma remota las sirenas de emergencia.
No hay solución reportada por el momento. Se recomienda ponerse en contacto con el fabricante para más información.
CVE-2025-13483: vulnerabilidad que permite el acceso no autorizado a las API del backend ya que no existe ninguna autenticación previa. Esto posibilita que un atacante se salte la pantalla de inicio de sesión a través de las herramientas de desarrollo del navegador y poder acceder a partes restringidas de la aplicación.