Vulnerabilidad de recorrido de ruta en Thermo Fisher Torrent Suite Software

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) ha publicado un aviso referente a una vulnerabilidad de recorrido de ruta (path traversal) en el software Torrent Suite de Thermo Fisher. Este fallo, clasificado con el identificador CVE-2026-107777, afecta a las versiones 5.18 e inferiores del producto.

La vulnerabilidad, categorizada como CWE-22 (Improper Limitation of a Pathname to a Restricted Directory), podría ser explotada por un atacante autenticado para leer archivos arbitrarios en el servidor Torrent, siempre que estos sean accesibles a la cuenta del servicio web. La alerta ha sido detallada en un aviso de CISA.

En cuanto a su severidad, la vulnerabilidad ostenta una puntuación base de 6.5 en CVSS v3.1, clasificándose como media. Bajo el estándar CVSS v4.0, su puntuación asciende a 7.1, lo que la sitúa en una categoría de severidad alta. El software afectado se despliega en sectores de infraestructura crítica, como el de Salud y Salud Pública a nivel mundial, lo que resalta la importancia de la mitigación.

Thermo Fisher ha proporcionado una solución a la vulnerabilidad y recomienda a los usuarios actualizar el software Torrent Suite a la versión 5.22 o posterior. La detección y el reporte de esta vulnerabilidad a CISA fueron obra de Akanksha Raghvesh y Abhinav Agarwal. Hasta la fecha de esta publicación, no se ha reportado a CISA ninguna explotación pública conocida de este fallo.