Resumen ejecutivo
Recursos afectados
- VT-Designer;
- HMITool.
Análisis técnico
Todas las vulnerabilidades, en caso de ser explotadas, permiten la ejecución de código arbitrario en la instalación del producto. Para la explotación es necesaria la interacción del usuario, ya que este debe visitar una página maliciosa o abrir un archivo malicioso.
Para las vulnerabilidades que afectan a VT-Designer el fallo está en el análisis de los archivos PM3, debido a que no se valida adecuadamente la información proporcionada por el usuario, lo que provoca que un atacante pueda aprovechar la vulnerabilidad para ejecutar código en el contexto del proceso en curso. Para cada vulnerabilidad, el error se encuentra en:
- CVE-2025-7231, CVE-2025-7229, CVE-2025-7228, CVE-2025-7227: Escritura después de la finalización en la estructura de datos asignada.
- CVE-2025-7230: Condición de confusión de tipos.
Para las vulnerabilidades que afectan a HMITool el fallo está en el análisis de los archivos VPM, debido a que no se valida adecuadamente la información proporcionada por el usuario, lo que provoca una escritura después de la finalización en un búfer. Un atacante puede explotar la vulnerabilidad para ejecutar código en el contexto del proceso en curso. Se han asignado los identificadores CVE-2025-7226, CVE-2025-7225, CVE-2025-7224 y CVE-2025-7223 a estas vulnerabilidades.
Mitigación / Solución
Actualmente no existe un parche que solucione el problema. Como medida de mitigación se recomienda restringir la interacción con el producto.