CPA2026-051: Solución de las vulnerabilidades de OpenSSL que afecta a IRIS XMailFetcher
23 de marzo de 2026
Canon Inc.
Description:
IRIS, una compañía de Canon, ha identificado que uno de sus productos, IRIS XMailFetcher, utiliza una versión vulnerable de OpenSSL en la que un usuario malintencionado puede proporcionar un mensaje en sintaxis de mensajes criptográficos (CMS) con un vector de inicialización (IV) de tamaño excesivo. OpenSSL copia este vector de inicialización en un buffer de pila de tamaño fijo sin validar su longitud, lo que resulta en un desbordamiento del buffer de pila. Esta vulnerabilidad afecta al análisis de OpenSSL de las estructuras CMS de tipo AuthEnvelopedData y EnvelopedData que utilizan encriptación autenticada con cifrados de datos asociados (AEAD) como AES-GCM.
Los posibles impactos de esta vulnerabilidad incluyen:
- Denegación de servicio (DoS) debido a fallos de la aplicación
- Posible ejecución remota de código, dependiendo de las medidas de mitigación de la plataforma
- El atacante no necesita ninguna clave válida, ya que el desbordamiento del buffer de pila se produce antes de la autenticación
Versiones afectadas:
IRIS XMailFetcher: Versión 5.0.29 y anteriores.
Solución/Mitigación:
IRIS ha lanzado IRIS XMailFetcher, versión 5.0.30, una actualización de seguridad que aborda esta vulnerabilidad (CVE‑2025‑15467).
Esta versión no incluye cambios adicionales ni nuevas características y se centra únicamente en resolver este problema.
Canon recomienda actualizar a la versión 5.0.30 lo más pronto posible. Si necesita ayuda con la actualización, póngase en contacto con nuestro equipo de asistencia.
La corrección está disponible en “download center” (centro de descargas) y la comunicación se puede encontrar en “Technical News” (Noticias técnicas) en el Portal de socios de IRIS, bajo el título: “IRIS XMailFetcher 5.0.30 – CVE‑2025‑15467 Fix”.
Tenga en cuenta que IRIS solucionó este problema lanzando la actualización de la versión 5.0.30 el 19 de febrero de 2026.
A fecha de este aviso, no se han recibido informes de que se haya abusado de esta vulnerabilidad. Sin embargo, para mejorar la seguridad del producto, recomendamos que los clientes instalen la última versión de IRIS XMailFetcher 5.0.30.
CVE / CVSS:
CVE-2025-15467: Una vulnerabilidad de desbordamiento del buffer de pila en OpenSSL que afecta el análisis de mensajes CMS de tipo AuthEnvelopedData y EnvelopedData. CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N Puntuación base: 9.3.