Categoría: Actualidad

HP ha publicado 13 vulnerabilidades: 1 de severidad crítica, 7 de severidad alta y el resto de severidad media. En caso de ser explotadas podrían provocar una denegación de servicio, ejecución de código, divulgación de información confidencial, desbordamiento de búfer o inyección de scripts.

Análisis

La vulnerabilidad de severidad crítica en la implementación del descifrado SM2 en OpenSSL permite que la función EVP_PKEY_decrypt() calcule incorrectamente el tamaño del búfer necesario para el texto plano en su primera llamada. Esto puede resultar en un búfer demasiado pequeño en la segunda llamada, causando un desbordamiento de búfer de hasta 62 bytes. Un atacante podría explotar esto para sobrescribir datos adyacentes en el montón, alterando el comportamiento de la aplicación o provocando su bloqueo. Se ha asignado el identificador CVE-2021-3711 para esta vulnerabilidad.

El resto de vulnerabilidades se pueden consultar en el enlace de las referencias.

Recursos afectados

• • SSH Server (T0801);
  • NonStop SSL (T0910);
  • MR-Win6530 (T0819).

Recomendaciones

Se recomienda actualizar a la ultima versión disponible.

Referencias

https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbns04859en_us&docLocale=en_US

Mozilla ha lanzado actualizaciones de seguridad para abordar dos vulnerabilidades críticas en su navegador Firefox que podrían ser explotadas para acceder a datos confidenciales o lograr la ejecución de código.

Análisis

Mozilla ha lanzado actualizaciones de seguridad para abordar dos vulnerabilidades críticas en su navegador Firefox que podrían ser explotadas para acceder a datos confidenciales o lograr la ejecución de código.

Las vulnerabilidades, ambas explotadas como día cero, se enumeran a continuación:

• • CVE-2025-4918: Una vulnerabilidad de acceso fuera de límites al resolver objetos Promise que podría permitir a un atacante realizar operaciones de lectura o escritura en un objeto Promise de JavaScript.
  • CVE-2025-4919: Una vulnerabilidad de acceso fuera de límites al optimizar sumas lineales que podría permitir a un atacante realizar operaciones de lectura o escritura en un objeto JavaScript al confundir los tamaños de índice de la matriz.

En otras palabras, la explotación exitosa de cualquiera de las vulnerabilidades podría permitir a un adversario realizar operaciones de lectura o escritura fuera de los límites , que luego podrían usarse para acceder a información que de otro modo sería confidencial o provocar una corrupción de memoria que podría allanar el camino para la ejecución de código.

Recursos afectados

• • Todas las versiones de Firefox anteriores a la 138.0.4 (incluido Firefox para Android).
  • Todas las versiones de Firefox Extended Support Release (ESR) anteriores a la 128.10.1.
  • Todas las versiones de Firefox ESR anteriores a 115.23.1

Recomendaciones

Se recomienda actualizar a la ultima versión de la aplicación.

Referencias

• • https://thehackernews.com/2025/05/firefox-patches-2-zero-days-exploited.html

Adobe ha lanzado una actualización de seguridad crítica que aborda al menos 39 vulnerabilidades en diversos productos, incluyendo Adobe ColdFusion, Photoshop, Illustrator, Lightroom, Dreamweaver, Connect, InDesign, Substance 3D Painter, Bridge y Dimension.

Análisis

Las vulnerabilidades identificadas abarcan una variedad de productos y afectan tanto a plataformas Windows como macOS. La explotación exitosa de estas fallas podría permitir a atacantes ejecutar código arbitrario, eludir funciones de seguridad, acceder a información sensible o causar interrupciones en el servicio. Adobe ha señalado que no tiene conocimiento de que estas vulnerabilidades hayan sido explotadas activamente antes de la disponibilidad de los parches.

Parta mas información sobre las vulnerabilidades se recomienda consultar el boletín de seguridad de Adobe.

Recursos afectados

• • Adobe ColdFusion: versiones CF2023: hasta la 2023.0.1.314 y CF2021: hasta la 2021.0.10.314.
  • Adobe Photoshop: versiones 2023 hasta la 24.7.3 y 2024: hasta la 25.9.1.
  • Adobe Illustrator: No se han especificado versiones.
  • Adobe Lightroom: No se han especificado versiones.
  • Adobe Dreamweaver: No se han especificado versiones.
  • Adobe Connect: No se han especificado versiones.
  • Adobe InDesign: No se han especificado versiones.
  • Adobe Substance 3D Painter: No se han especificado versiones.
  • Adobe Bridge: No se han especificado versiones.
  • Adobe Dimension: No se han especificado versiones.

Recomendaciones

Adobe recomienda que los usuarios y administradores de sistemas apliquen las actualizaciones correspondientes sin demora.

• • Adobe ColdFusion: CF2023: 2023.0.1.315 y CF2021: 2021.0.10.315
  • Adobe Photoshop: 2023: 24.7.4 y 2024: 25.11
  • Adobe Illustrator: Actualización disponible en el sitio oficial
  • Adobe Lightroom: Actualización disponible en el sitio oficial
  • Adobe Dreamweaver: Actualización disponible en el sitio oficial
  • Adobe Connect: Actualización disponible en el sitio oficial
  • Adobe InDesign: Actualización disponible en el sitio oficial
  • Adobe Substance 3D Painter: Actualización disponible en el sitio oficial
  • Adobe Bridge: Actualización disponible en el sitio oficial
  • Adobe Dimension: Actualización disponible en el sitio oficial

Las versiones corregidas específicas pueden variar según el producto y la plataforma. Se recomienda consultar el sitio oficial de Adobe para obtener detalles precisos.

Referencias

• • https://www.securityweek.com/adobe-patches-big-batch-of-critical-severity-software-flaws/