Teleobjetivo y Xerox han abordado fallas de seguridad críticas en los clientes de Teleobjetivo para Windows y FreeFlow Core que podrían permitir la subida de privilegios y la ejecución de código remoto.
La vulnerabilidad que impacta a los clientes de Teleobjetivo para Windows, rastreados como CVE-2025-49457 (Puntuación CVSS: 9.6), se relaciona con un caso de una ruta de búsqueda no confiable que podría allanar el camino para la subida de privilegios.
«La ruta de búsqueda no confiable en ciertos clientes de Teleobjetivo para Windows puede permitir que un becario no autenticado realice una subida de privilegios a través del comunicación a la red», dijo Teleobjetivo en un boletín de seguridad el martes.
El problema, informado por su propio equipo de seguridad ofensivo, afecta los siguientes productos –
- Ocupación de trabajo de Teleobjetivo para Windows antaño de la interpretación 6.3.10
- Teleobjetivo Workplace VDI para Windows antaño de la interpretación 6.3.10 (excepto 6.1.16 y 6.2.12)
- Teleobjetivo habitaciones para ventanas antaño de la interpretación 6.3.10
- Compensador Teleobjetivo Rooms para Windows antaño de la interpretación 6.3.10
- Teleobjetivo Meeting SDK para Windows antaño de la interpretación 6.3.10
La divulgación se produce cuando se han revelado múltiples vulnerabilidades en el núcleo de FreeFlow de Xerox, el más severo de los cuales podría dar ocupación a la ejecución de código remoto. Los problemas, que se han abordado en la interpretación 8.0.4, incluyen –
- CVE-2025-8355 (Puntuación CVSS: 7.5) – Vulnerabilidad de inyección de entidad externa XML (xxe) que conduce a falsificación de solicitud del banda del servidor (SSRF)
- CVE-2025-8356 (Puntuación CVSS: 9.8) – Vulnerabilidad transversal de ruta que conduce a la ejecución del código remoto
«Estas vulnerabilidades son rudimentarias para explotar y, si se explotan, podrían permitir que un atacante ejecute comandos arbitrarios en el sistema afectado, robe datos confidenciales o intente moverse lateralmente a un entorno corporativo determinado para promover su ataque», dijo Horizon3.ai.
