Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.

Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

Vulnerabilidad en System Information Reporter (CVE-2025-3722)
Severidad: Pendiente de análisis
Fecha de publicación: 26/06/2025
Fecha de última actualización: 11/02/2026
Una vulnerabilidad de path traversal en System Information Reporter (SIR) 1.0.3 y anteriores permitía a un usuario autenticado con privilegios elevados emitir solicitudes POD maliciosas a System Information Reporter, lo que llevaba a la creación de archivos en cualquier parte del sistema de archivos y posiblemente a sobrescribir archivos existentes y exponer información confidencial.
Vulnerabilidad en SIR 1.0.3 (CVE-2025-3771)
Severidad: ALTA
Fecha de publicación: 26/06/2025
Fecha de última actualización: 11/02/2026
Una vulnerabilidad de manipulación de rutas o enlaces simbólicos en SIR 1.0.3 y versiones anteriores permite que un usuario local no administrador autenticado sobrescriba archivos del sistema con archivos de respaldo de SIR, lo que podría provocar un bloqueo del sistema. Esto se lograba añadiendo una entrada maliciosa al registro en la carpeta de registro de Trellix SIR, mediante una política o con un enlace simbólico de unión a archivos a los que el usuario normalmente no tendría acceso.
Vulnerabilidad en System Information Reporter (CVE-2025-3773)
Severidad: Pendiente de análisis
Fecha de publicación: 26/06/2025
Fecha de última actualización: 11/02/2026
Una vulnerabilidad de exposición de información confidencial en System Information Reporter (SIR) 1.0.3 y anteriores permite que un usuario local no administrador autenticado extraiga información confidencial almacenada en una carpeta de respaldo del registro.
Vulnerabilidad en ThemeMove Amely (CVE-2025-39474)
Severidad: CRÍTICA
Fecha de publicación: 27/06/2025
Fecha de última actualización: 11/02/2026
Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando SQL ('Inyección SQL') en ThemeMove Amely permite la inyección SQL. Este problema afecta a Amely desde n/d hasta la versión 3.1.4.
Vulnerabilidad en Infinera G42 (CVE-2025-27021)
Severidad: ALTA
Fecha de publicación: 02/07/2025
Fecha de última actualización: 11/02/2026
La configuración incorrecta de sudoers en el sistema operativo Infinera G42 versión R6.1.3 permite a usuarios con privilegios bajos leer/escribir memoria física mediante la herramienta de línea de comandos devmem. Esto podría permitir la divulgación de información confidencial, la denegación de servicio y la escalada de privilegios al manipular la memoria del kernel. Detalles: La salida de "sudo -l" informa de la presencia del comando "devmem", ejecutable como superusuario sin contraseña. Este comando permite leer y escribir en cualquier área de memoria del dispositivo de destino, especificando una dirección absoluta.
Vulnerabilidad en Infinera G42 (CVE-2025-27022)
Severidad: ALTA
Fecha de publicación: 02/07/2025
Fecha de última actualización: 11/02/2026
Una vulnerabilidad de path traversal del endpoint HTTP WebGUI en Infinera G42 versión R6.1.3 permite a usuarios remotos autenticados descargar todos los archivos del sistema operativo mediante solicitudes HTTP. Detalles: La falta o la validación insuficiente de la entrada del usuario permite a los usuarios autenticados acceder a todos los archivos del sistema de archivos del equipo de destino que son legibles para la cuenta de usuario utilizada para ejecutar el servicio httpd.
Vulnerabilidad en Infinera G42 (CVE-2025-27023)
Severidad: MEDIA
Fecha de publicación: 02/07/2025
Fecha de última actualización: 11/02/2026
La falta o insuficiencia de validación de entrada en la interfaz de línea de comandos WebGUI de Infinera G42 versión R6.1.3 permite a los usuarios remotos autenticados leer todos los archivos del sistema operativo mediante comandos CLI específicos. Detalles: La gestión basada en la interfaz web del dispositivo Infinera G42 permite ejecutar un conjunto restringido de comandos. Esta función también permite ejecutar un archivo de script ya presente en el dispositivo de destino. Cuando se especifica un archivo incorrecto o que no es un script, se muestra su contenido junto con un mensaje de error. Gracias a la ejecución del servicio http con un usuario con privilegios, todos los archivos del sistema de archivos se pueden visualizar de esta manera.
Vulnerabilidad en Infinera G42 (CVE-2025-27024)
Severidad: MEDIA
Fecha de publicación: 02/07/2025
Fecha de última actualización: 11/02/2026
El acceso sin restricciones al sistema de archivos del SO mediante el servicio SFTP en Infinera G42 versión R6.1.3 permite a los usuarios remotos autenticados leer y escribir archivos del SO mediante conexiones SFTP. Detalles: Los miembros de la cuenta con el perfil de administrador de red pueden acceder al equipo de destino mediante SFTP con las mismas credenciales utilizadas para el acceso SSH CLI y leer todos los archivos según los permisos del SO, en lugar de permanecer dentro del directorio chroot.
Vulnerabilidad en Infinera G42 (CVE-2025-27026)
Severidad: MEDIA
Fecha de publicación: 02/07/2025
Fecha de última actualización: 11/02/2026
La ausencia de una función de doble verificación en la interfaz web para la desactivación de la CLI en Infinera G42 versión R6.1.3 permite a un administrador autenticado desactivar otras interfaces de administración a través de interfaces locales y de red. La desactivación de la CLI mediante la interfaz web no solo detiene la interfaz, sino que también desactiva el acceso a Linux Shell, la interfaz web y la consola serie física. No se solicita confirmación al desactivarla. Al perder el acceso a estos servicios, los administradores de dispositivos corren el riesgo de perder completamente el control del dispositivo.