Un nuevo aviso de seguridad y una actualización
Índice
- Múltiples vulnerabilidades en productos de Moxa
- [Actualización 26/05/2026] Múltiples vulnerabilidades en Stel Order
Múltiples vulnerabilidades en productos de Moxa
- MIL3 v1.4 y versiones anteriores, y MIL4 v1.0
- Serie UC-1200A;
- Serie UC-2200A.
- MIL3 v1.2 y versiones anteriores, y MIL4 v1.0
- Serie UC-3400A.
- MIL3 v1.3 y versiones anteriores, y MIL4 v1.0
- Serie UC-4400A.
- MIL4 v1.0
- Serie UC-8600A.
- MIL3 v1.5 y versiones anteriores
- Serie UC-8200.
- MIL3 v1.2.0 y versiones anteriores
- Serie V1200.
- MIL3 v1.1 y versiones anteriores
- Serie V3200;
- Serie V3400.
- MIL3 v1.1.0 y versiones anteriores
- Serie VM-1220.
- MIL3 v2.1 y versiones anteriores
- Serie ioThinx 4530.
- Firmware versión 1.4.0 y anteriores
- Serie AIG-302.
- Firmware v1.0.0
- Serie AIG-502.
- Debian 11 V1.0
- Serie BXP-A100;
- Serie BXP-A101;
- Serie BXP-C100;
- Serie DRP-A100;
- Serie DRP-C100;
- Serie RKP-A110;
- Serie RKP-C110;
- Serie RKP-C220.
- Debian 12 V1.0
- Serie BXP-A100;
- Serie BXP-A101;
- Serie BXP-C100;
- Serie RKP-A110;
- Serie RKP-C110;
- Serie RKP-C220.
Moxa ha publicado 3 vulnerabilidades de severidad alta que podrían permitir a un atacante provocar una escalada de privilegios local (LPE) hasta obtener el control total a nivel de administrador.
- Serie UC (Modelos: UC-1200A, UC-2200A, UC-3400A, UC-4400A, UC-8600A, UC-8200)
- Acción inmediata: Aplicar medidas de mitigación provisionales (ver sección de Medidas de mitigación).
- Solución permanente planificada: Se está validando una corrección mediante un parche. Se actualizará el aviso de seguridad cuando esté listo.
- Serie V (Modelos: V1200, V3200, V3400)
- Acción inmediata: Aplicar medidas de mitigación provisionales.
- Solución permanente planificada: Corrección mediante parche en proceso de validación.
- Serie VM (Modelo: VM-1220)
- Acción inmediata: Aplicar medidas de mitigación provisionales.
- Solución permanente planificada: Corrección mediante parche en proceso de validación.
- Serie IoThinx (Modelo: ioThinx 4530)
- Acción inmediata: Aplicar medidas de mitigación provisionales.
- Solución permanente planificada: Corrección mediante parche en proceso de validación.
- Serie AIG (Modelos: AIG-302, AIG-502)
- Acción inmediata: Aplicar medidas de mitigación provisionales.
- Solución permanente planificada: Corrección mediante parche en proceso de validación.
- Serie BXP (Modelos: BXP-A100, BXP-A101, BXP-C100)
- Acción inmediata: Si utiliza CTOS, verificar la versión actual del kernel e instalar las últimas actualizaciones de seguridad lo antes posible (ver sección «Soluciones para CTOS»).
- Información adicional: Consulte los Avisos de seguridad de Debian para más información.
- Serie DRP (Modelos: DRP-A100, DRP-C100)
- Acción inmediata: Verificar la versión actual del kernel e instalar las últimas actualizaciones de seguridad de Debian lo antes posible.
- Serie RKP (Modelos: RKP-A110, RKP-C110, RKP-C220)
- Acción inmediata: Verificar la versión actual del kernel e instalar las últimas actualizaciones de seguridad de Debian lo antes posible.
CVE-2026-31431: en el kernel de Linux, se ha resuelto una vulnerabilidad de transferencia incorrecta de recursos. Esto revierte en gran medida la confirmación 72548b093ee3. No hay ninguna ventaja en operar dentro del lugar en algif_aead, ya que el origen y el destino provienen de asignaciones diferentes.
CVE-2026-43284 y CVE-2026-43500: condición de escritura y escritura fuera de límites. En las pilas de red IPsec (ESP) y RxRPC del kernel de Linux existen dos vulnerabilidades relacionadas, denominadas colectivamente "Dirty Frag". Un atacante local sin privilegios puede explotar estas vulnerabilidades para sobrescribir de forma determinista la caché de páginas del kernel, lo que permite la escalada de privilegios local (LPE) hasta obtener el control total a nivel de administrador.
[Actualización 26/05/2026] Múltiples vulnerabilidades en Stel Order
Plataforma Stel Order, versiones 3.25.1 y anteriores.
INCIBE ha coordinado la publicación de 2 vulnerabilidades de severidad alta y media que afectan a la plataforma de Stel Order, un software de gestión integral en la nube. Las vulnerabilidades han sido descubiertas por Manuel Gomez Argandoña y David Padilla Alvarado respectivamente.
A estas vulnerabilidades se les han asignado los siguientes códigos, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE de cada vulnerabilidad:
- CVE-2026-5798: CVSS v4.0 7.1 | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N | CWE-639
- CVE-2026-5790: CVSS v4.0: 5.1 | CVSS AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N | CWE-79
[Actualización 26/05/2026]
- En cuanto al CVE-2026-5798, se han reforzado y verificado los controles de autorización asociados a operaciones que reciben empleadoID, especialmente en los siguientes puntos:
- validación de permisos en backend;
- comprobación del ámbito de empresa/cuenta;
- diferenciación entre perfiles administradores y usuarios sin permisos globales;
- revisión de operaciones de consulta y modificación asociadas a empleados.
- Referente a CVE-2026-5790, se ha constatado que la vulnerabilidad fue resuelta en agosto de 2025, no siendo explotable en las versiones vigentes.
- CVE-2026-5798: referencia insegura a objetos (IDOR) en Stel Order v3.25.1 y anteriores, específicamente en el endpoint ‘/app/FrontController’ mediante la manipulación del parámetro 'empleadoID'. Un atacante autenticado podría explotar esta vulnerabilidad para acceder a información de cualquier empleado (nombres, apellidos, roles, cargos y registros de vacaciones, entre otros) al modificar dicho identificador en las peticiones enviadas al servidor.
- CVE-2026-5790: Cross-Site Scripting (XSS) almacenado en Stel Order v3.25.1 y anteriores, localizada en el endpoint ‘/app/FrontController’ a través de los parámetros ‘nombrejurídico’ y ‘empleadoID’. La falta de un correcto saneamiento de las entradas permite a un atacante inyectar código malicioso que se almacena de forma persistente en la base de datos. Cuando otros usuarios o administradores acceden a las secciones afectadas, el código se ejecuta en sus navegadores, permitiendo el robo de cookies de sesión y el secuestro de cuentas.