Inyección SQL en el firmware de Ciser System SL
Fecha de publicación 02/03/2026
Identificador
INCIBE-2026-157
Importancia
5 - Crítica
Recursos Afectados
CSIP firmware en las versiones de la 3.0 hasta la 5.1.
Descripción
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad alta que afecta al firmware de Ciser System SL, empresa dedicada al sector de las telecomunicaciones. La vulnerabilidad ha sido descubierta por Ciser System SL.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-2584: CVSS v4.0: 9.3 | CVSS AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:L/SI:N/SA:N | CWE-89
Solución
1. Medidas inmediatas (soluciones provisionales)
- Si no es posible actualizar inmediatamente el firmware, se deben implementar controles a nivel de red para reducir la superficie de ataque:
- Restricción de acceso: Limite el acceso al panel de administración o de inicio de sesión mediante una lista de permitidos. Se deben bloquear estrictamente todos los intentos de conexión desde redes no confiables o desde la Internet pública.
- Segmentación de la red: Aísle la interfaz de gestión dentro de una VLAN de gestión dedicada, accesible solo a través de una VPN corporativa segura.
2. Solución permanente (remediación)
- El proveedor ha solucionado la vulnerabilidad mediante una lógica de validación de entradas mejorada y consultas parametrizadas.
- Se recomienda actualizar a la versión 5.3 o superior del firmware. Esta versión mitiga el riesgo al garantizar que las consultas SQL se gestionen de forma segura, neutralizando eficazmente el vector de inyección.
Detalle
- CVE-2026-2584: se ha identificado una vulnerabilidad crítica de inyección SQL (SQLi) en el módulo de autenticación del sistema. Un atacante remoto no autenticado (AV:N/PR:N) puede aprovechar esta falla enviando consultas SQL especialmente diseñadas a través de la interfaz de inicio de sesión. Debido a la baja complejidad del ataque (AC:L) y a la ausencia de requisitos específicos (AT:N), la vulnerabilidad permite comprometer totalmente los datos de configuración del sistema (VC:H/VI:H). Aunque la disponibilidad del servicio no se ve afectada (VA:N), la brecha puede dar lugar a una exposición limitada de información confidencial relativa a sistemas posteriores o interconectados (SC:L).
CVE
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
Listado de referencias
Etiquetas
