Indico onthult lokale bestanden, resulterend in Remote Code Execution via LaTeX injectie

Deze kwetsbaarheid is ernstig omdat een succesvolle exploitatie kan leiden tot volledige controle over de server waarop Indico draait. Een aanvaller kan gevoelige informatie lezen, zoals configuratiebestanden en database-credentials. Bovendien kan de aanvaller kwaadaardige code uitvoeren, waardoor de server kan worden gebruikt voor verdere aanvallen, zoals het verspreiden van malware of het uitvoeren van denial-of-service aanvallen. De kwetsbaarheid is te wijten aan onvoldoende sanitatie van LaTeX-code, waardoor een aanvaller speciale LaTeX-snippets kan gebruiken om de beveiliging te omzeilen. Dit is vergelijkbaar met kwetsbaarheden die in het verleden in andere LaTeX-verwerkingssystemen zijn aangetroffen.

Organizations using Indico for event management, particularly those relying on server-side LaTeX rendering for document generation or display, are at risk. This includes academic institutions, research organizations, and conference organizers who may be running Indico on shared hosting environments or legacy infrastructure.

• linux / server:

journalctl -u indico | grep -i "latex"

• python:

import os
with open('/opt/indico/indico.conf', 'r') as f:
    if 'XELATEX_PATH' in f.read():
        print('XELATEX_PATH is set - vulnerability may be present')

• generic web:

curl -I http://your-indico-server/some/latex/endpoint

• generic web: Inspect Indico access logs for requests containing unusual or obfuscated LaTeX code.

1. 2026-03-23Disclosure

   disclosure

1. Gereserveerd2026-03-17
2. Gepubliceerd2026-03-23
3. Gewijzigd2026-03-25
4. EPSS bijgewerkt2026-03-31

De belangrijkste mitigatie is het updaten naar Indico versie 3.3.12 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan om server-side LaTeX rendering uit te schakelen door de XELATEX_PATH niet in indico.conf te zetten. Dit voorkomt dat de kwetsbaarheid van toepassing is. Controleer ook de toegang tot de Indico-server en beperk deze tot vertrouwde gebruikers. Implementeer een Web Application Firewall (WAF) met regels die kwaadaardige LaTeX-code detecteren en blokkeren. Na de upgrade, controleer de Indico-logbestanden op verdachte activiteiten en bevestig dat de kwetsbaarheid is verholpen door het proberen van een exploitatiepoging met een bekende payload (en deze te blokkeren).