Indico revela archivos locales resultando en Ejecución Remota de Código a través de inyección LaTeX

Un atacante puede explotar esta vulnerabilidad utilizando fragmentos LaTeX especialmente diseñados para leer archivos locales o ejecutar código en el servidor Indico. La ejecución se realiza con los privilegios del usuario que ejecuta Indico, lo que podría permitir el acceso a información sensible o la toma de control del sistema. La vulnerabilidad se agrava si el servidor utiliza el renderizado LaTeX, ya que la sanitización de LaTeX en Indico no es suficiente para prevenir la ejecución de código malicioso. Esta situación es similar a otras vulnerabilidades que explotan la falta de validación de entradas en procesadores de documentos.

Organizations using Indico for event management, particularly those relying on server-side LaTeX rendering for document generation or display, are at risk. This includes academic institutions, research organizations, and conference organizers who may be running Indico on shared hosting environments or legacy infrastructure.

• linux / server:

journalctl -u indico | grep -i "latex"

• python:

import os
with open('/opt/indico/indico.conf', 'r') as f:
    if 'XELATEX_PATH' in f.read():
        print('XELATEX_PATH is set - vulnerability may be present')

• generic web:

curl -I http://your-indico-server/some/latex/endpoint

• generic web: Inspect Indico access logs for requests containing unusual or obfuscated LaTeX code.

1. 2026-03-23Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-03-23
3. Modificada2026-03-25
4. EPSS actualizado2026-03-31

La mitigación principal es actualizar Indico a la versión 3.3.12 o superior, donde se ha solucionado la vulnerabilidad. Si la actualización no es posible de inmediato, deshabilitar el renderizado LaTeX (asegurándose de que la variable XELATEX_PATH no esté definida en indico.conf) puede reducir el riesgo. Monitorear los logs del servidor en busca de patrones inusuales relacionados con LaTeX puede ayudar a detectar intentos de explotación. Implementar reglas en un Web Application Firewall (WAF) para bloquear peticiones con fragmentos LaTeX sospechosos también puede ser útil.