CVE-2026-118462 Ejecución de código no verificado en el mecanismo de actualización de AIS
Los componentes de actualización descargan y ejecutan código sin verificar su autenticidad, ya que se apoyan en hashes ignorados o sumas de comprobación falsificables. Algunas rutas de actualización también permiten recorrido de directorios o ejecución de scripts.
CVSS 4.0
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
CompuGroup Medical Infantia
hasta 1.3.0
CompuGroup Medical Profim
hasta 1.3.0
CompuGroup Medical Venere
hasta 1.3.0
CompuGroup Medical Phronesis
hasta 1.3.0
CompuGroup Medical Infantia
hasta 2.12.0
CompuGroup Medical Profim
hasta 2.12.0
CompuGroup Medical Venere
hasta 2.12.0
CompuGroup Medical Phronesis
hasta 2.12.0
Qué hacer
- Verificá si usás Infantia y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 9.2 CRÍTICA
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Alta
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Update components download and execute code without proper authenticity verification, relying on ignored hashes or forgeable checksums. Some update paths also permit archive traversal or script execution.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.