Publicado el

Vulnerabilidad corregida en Adobe

Adobe ha publicado un boletín de seguridad, abordando una vulnerabilidad crítica en las dependencias del producto que podría permitir ejecución arbitraria de código. Las versiones afectadas de ColdFusion incluyen ColdFusion 2025 (Update 5 y anteriores) y ColdFusion 2023 (Update 17 y anteriores) en todas las plataformas. 
 
Análisis 
CVE-2025-66516: Apache Tika XML External Entity (XXE) / Ejecución arbitraria de código
 
La actualización de ColdFusion incluye un parche para la vulnerabilidad CVE-2025-66516, un fallo crítico en la biblioteca Apache Tika que se usa como dependencia dentro de ColdFusion. Este fallo permite inyección de entidades externas XML (XXE) que podría explotarse al procesar contenido específicamente elaborado, conduciendo a ejecución arbitraria de código con las mismas credenciales o contexto que el proceso de ColdFusion. Dado que este componente se invoca internamente al manejar ciertos formatos de archivo (por ejemplo, XFA dentro de PDF), un atacante capaz de suministrar datos maliciosos podría conseguir ejecución de código no autorizado en el servidor afectado.
 
Recomendaciones
Actualizar inmediatamente a las versiones corregidas de ColdFusion (2025 Update 6 o 2023 Update 18)
Referencias:
Publicado el

Parche de seguridad enero Microsoft

 

Microsoft ha corregido 114 vulnerabilidades en su boletín de seguridad de enero de 2026, incluidas 3 vulnerabilidades zero-day, una de las cuales está siendo explotada activamente. Estas vulnerabilidades abarcan desde divulgación de información sensible y elevación de privilegios hasta bypass de características de seguridad y errores que podrían permitir la ejecución de código remota. Los fallos afectan a múltiples componentes de Windows y software asociado, y varias categorías de riesgo están representadas, con una gran proporción de vulnerabilidades de elevación de privilegios y ejecución remota de código.
 
Análisis 
Destacan las 3 vulnerabilidades zero-day:
 
CVE-2026-20805: Desktop Window Manager Information Disclosure Vulnerability
Una vulnerabilidad de divulgación de información en el Desktop Window Manager (DWM), activamente explotada. Un atacante con acceso autorizado local podría aprovechar este fallo para leer direcciones de memoria del proceso asociado al puerto ALPC remoto, lo cual puede revelar información interna útil para posteriores vectores de ataque.
 
CVE-2026-21265: Secure Boot Certificate Expiration Security Feature Bypass Vulnerability
 
Esta vulnerabilidad ha sido públicamente divulgada, y está relacionada con la caducidad de ciertos certificados de arranque seguro (Secure Boot). Los certificados emitidos en 2011 estaban próximos a su fecha de expiración, lo que podría permitir a un atacante eludir las protecciones de Secure Boot en sistemas no actualizados. El parche renueva estos certificados para restaurar la cadena de confianza y mantener la verificación de componentes de arranque.
 
CVE-2023-31096: Windows Agere Soft Modem Driver Elevation of Privilege Vulnerability
 
Esta vulnerabilidad afecta al controlador de terceros Agere Soft Modem. Explotaciones previas permitían la escalada de privilegios a nivel administrativo (SYSTEM). En la actualización de este mes,  Microsoft ha eliminado completamente los controladores vulnerables (agrsm64.sys y agrsm.sys) de los sistemas compatibles para mitigar el riesgo.
 
Recomendaciones
Aplicar las actualizaciones de Microsoft en cuanto estén disponibles
Referencias: 
Publicado el

Vulnerabilidades en Veeam Backup & Replication

 

Vulnerabilidades en Veeam Backup & Replication

Introducción
Se han identificado múltiples vulnerabilidades críticas en Veeam Backup & Replication, un software ampliamente utilizado para copias de seguridad empresariales. Algunas de estas vulnerabilidades son de tipo ejecución remota de código (RCE). Veeam ha publicado parches y actualizaciones de seguridad, pero los sistemas aún sin actualizar pueden permanecer expuestos a ataques persistentes, incluida la eliminación de backups y el despliegue de malware en infraestructuras críticas. 
 
Análisis 
Destaca la vulnerabilidad crítica CVE-2025-59470:
Para explotar la vulnerabilidad es necesario estar autenticado con un rol privilegiado, como Backup Operator o Tape Operator. Estos roles tienen permisos elevados dentro de Veeam Backup & Replication, lo que permite que un atacante autenticado pueda enviar parámetros maliciosos y ejecutar código como el usuario postgres.
 
Además se publican otras vulnerabilidades:
 
 
Recursos afectados
Veeam Backup & Replication 13.0.1.180 y todas las versiones anteriores dentro de la rama 13.x sin parchear.
 
Solución: Actualizar a 13.0.1.1071 o posterior.
 
Referencias: 
Publicado el

Vulnerabilidad crítica en LangChain Core permite inyección de objetos y exfiltración de secretos

Investigadores de seguridad han detectado una vulnerabilidad grave en LangChain Core, una librería ampliamente utilizada para desarrollar aplicaciones de inteligencia artificial basadas en modelos de lenguaje (LLM).

El fallo permite que datos manipulados por terceros sean procesados como si fueran confiables, lo que podría derivar en acceso no autorizado a información sensible, como contraseñas, claves de servicios y datos internos de las empresas. También existe el riesgo de que los atacantes alteren el comportamiento de los agentes de IA de manera maliciosa.

Las versiones afectadas incluyen la mayoría de releases recientes de LangChain:

    • Python: versiones desde la 1.0.0 hasta la 1.2.4 y versiones anteriores a la 0.3.81

    • JavaScript: versiones de @langchain/core anteriores a la 1.1.8 y a la 0.3.80

Los desarrolladores ya han publicado actualizaciones seguras que corrigen la vulnerabilidad:

    • Python: actualizar a 1.2.5 o superior, o a 0.3.81 o superior

    • JavaScript: actualizar a la versión 1.1.8 o superior, o a 0.3.80 o superior

Se recomienda a todas las organizaciones y desarrolladores que revisen sus aplicaciones que utilicen LangChain y actualicen de inmediato a las versiones parcheadas. Además, es fundamental tratar siempre la información generada por los modelos de IA como no confiable hasta ser validada, para minimizar riesgos.

Esta vulnerabilidad subraya la importancia de la seguridad en aplicaciones de inteligencia artificial, especialmente en entornos donde los modelos interactúan con datos y sistemas críticos de manera directa.

Referencias:

    • https://thehackernews.com/2025/12/critical-langchain-core-vulnerability.html
Logo de LangChain
Logo LangChain