CVE-2026-108013 Confianza en certificados de CA intermedia comprometidos en HCL BigFix Platform

Qué es CVE-2026-108013

BigFix Platform usa el bundle de certificados de CA de Mozilla (PEM); las versiones del bundle anteriores al 2026/10/20 aún confían en certificados cuyas claves privadas fueron comprometidas. Al validar servidores con ese bundle, un atacante en la ruta puede suplantar servidores remotos y alterar archivos descargados por la aplicación. Se corrige usando el bundle 2026/10/20 o posterior, disponible desde BES Support v1520.

Productos y versiones afectadas

• HCL Software BigFix Platform

  • Platform 11.0.7 and below + 10.0.16 and

Qué hacer

1. Verificá si usás BigFix Platform y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.8 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

BigFix Platform uses Mozilla CA certificate bundle (PEM). Versions of the bundle dated before 2026/10/20 still trust certificates whose private keys have been compromised. When BigFix Platform validates servers using such a bundle, an on-path attacker can impersonate remote servers and tamper with files downloaded by the application. The issue is resolved by using bundle version 2026/10/20 or later. The fixed bundle is available starting from BES Support v1520.

Referencias

• support.hcl-software.com/csm?id=kb_article&sysparm_article=KB0134758

Historial de la alerta

1. 24 OCT · 04:39VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.