Tres nuevos avisos de seguridad

CVE-2026-32746: el servidor telnetd presenta un desbordamiento de búfer en el controlador de subopciones LINEMODE SLC (Set Local Characters). Un atacante no autenticado puede activarlo conectándose al puerto 23 y enviando una subopción SLC manipulada con múltiples tripletas. No se requiere inicio de sesión. El fallo se produce durante la negociación de opciones, antes de la solicitud de inicio de sesión. El desbordamiento corrompe la memoria y puede transformarse en escrituras arbitrarias. En la práctica, esto puede conducir a la ejecución remota de código. Dado que telnetd suele ejecutarse como root, una explotación exitosa otorgaría al atacante el control total del sistema.

• CVE-2026-2251: restricción incorrecta de una ruta de acceso a un directorio restringido (Path Traversal), permite el acceso no autorizado a otras rutas, lo que podría dar lugar a un atacante a ejecutar código remoto (RCE).
• CVE-2026-2252: vulnerabilidad de entidad externa XML (XXE) que permite a un usuario malintencionado llevar a cabo una falsificación de solicitud del lado del servidor (SSRF) mediante una entrada XML manipulada que contenga referencias a entidades externas maliciosas.

Las vulnerabilidades de severidad crítica son:

• CVE-2025-55130: un fallo en el modelo de permisos de Node.js permite a los atacantes evitar las restricciones empleando rutas relativas de enlaces simbólicos. Al encadenar directorios y enlaces simbólicos, un script que únicamente tenga permisos de acceso al directorio actual puede escaparse de la ruta encomendada y leer ficheros sensibles.
• CVE-2025-66614: vulnerabilidad de validación inadecuada de la entrada. Tomcat no valida si el nombre del host proporcionado por la extensión SNI es igual que el proporcionado por el campo host header de HTTP. Si Tomcat está configurado con más de un host virtual y la configuración TLS para uno de esos host no requiere autenticación de certificado del cliente pero otro host sí, era posible para un cliente omitir la autenticación del criticado del cliente enviando diferentes nombres de host en la extensión SNI y el campo host header de HTTP.
• CVE-2025-68121: durante la reanudación de la sesión en crypto/tls, si la Config subyacente tiene sus campos ClientCAs o RootCAs mutados entre el handshake inicial y el handshake reanudado, el handshake reanudado puede tener éxito cuando debería haber fallado. Esto puede hacer que un cliente reanude una sesión con un servidor con el que no la habría reanudado durante el handshake inicial, o hacer que un servidor reanude una sesión con un cliente con el que no la habría reanudado durante el handshake inicial.
• CVE-2025-22871: el paquete net/http acepta incorrectamente un LF simple como terminador de línea en líneas de datos fragmentados. Esto puede permitir el contrabando de solicitudes si se utiliza un servidor net/http junto con un servidor que acepta incorrectamente un LF simple como parte de una extensión fragmentada.
• CVE-2024-45337: las aplicaciones y bibliotecas que hacen un mal uso de la devolución de llamada ServerConfig.PublicKeyCallback pueden ser susceptibles a una omisión de autorización.

El resto de vulnerabilidades se pueden consultar en los enlaces de las referencias.