Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidad en sonic3air de Eukaryot (CVE-2026-66732)

Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
06/08/2026
Última modificación:
24/10/2026

Descripción

Sonic 3 A.I.R. antes del commit 2492d18 contiene una vulnerabilidad de validación de dirección de origen faltante en ConnectionManager donde las conexiones establecidas se resuelven solo por un identificador de conexión local de dos bytes sin verificar que la dirección de origen del datagrama coincida con la dirección remota registrada para la conexión. Un atacante en la ruta que puede observar tráfico UDP en texto claro puede inyectar paquetes arbitrarios en cualquier sesión establecida falsificando el identificador de conexión de dos bytes, lo que permite la terminación de la sesión a través de TerminateConnectionPacket, la falsificación de mensajes de canal arbitrarios y respuestas a solicitudes falsificadas sin requerir suplantación de dirección IP.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.30 ALTA
Vector: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0
8.30
Gravedad 4.0
ALTA
Vector 3.x
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.90 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x
5.90
Gravedad 3.x
MEDIA

Referencias a soluciones, herramientas e información