Cuatro nuevos avisos de SCI

• CVE-2026-50245: Ausencia de autenticación para función crítica. El producto afectado permite el acceso sin autenticación a imágenes instantáneas en directo a través del endpoint /ONVIF. No se requiere autenticación para recuperar imágenes fijas de la transmisión de la cámara.
• CVE-2026-50005: uso de credenciales predeterminadas. El producto afectado se envía con credenciales predeterminadas que permiten a cualquier atacante remoto no autenticado acceder de forma desapercibida a las transmisiones de las cámaras.

CVE-2026-5667: vulnerabilidad de uso de credenciales embebidas que afecta a múltiples equipos de aire acondicionado domésticos de Mitsubishi Electric con funcionalidad Wi-Fi. Un atacante ubicado dentro del alcance de la red inalámbrica podría aprovechar la presencia de credenciales codificadas en el dispositivo para obtener acceso no autorizado cuando este se encuentre sin configurar o haya sido restaurado a valores de fábrica. La explotación de esta vulnerabilidad podría permitir la divulgación de información sensible, la modificación de la configuración del equipo o provocar una denegación de servicio (DoS).

• CVE-2026-31431: vulnerabilidad en el subsistema crypto del kernel Linux (algif_aead) debida a una gestión incorrecta de la transferencia de recursos entre espacios de memoria. Un atacante local con bajos privilegios podría explotar esta condición para elevar privilegios en el sistema afectado mediante la manipulación de estructuras de memoria del kernel.

• CVE-2026-43284: vulnerabilidad de tipo escritura arbitraria en memoria en el subsistema XFRM/ESP del kernel Linux. La incorrecta gestión de búferes compartidos puede permitir a un atacante local provocar escritura en ubicaciones de memoria controladas, facilitando la ejecución de código y la escalada de privilegios.

• CVE-2026-46333: vulnerabilidad de gestión incorrecta de privilegios en el subsistema ptrace del kernel Linux. Un atacante local podría aprovechar condiciones de carrera en la comprobación de permisos para acceder a información sensible de procesos y escalar privilegios.

• CVE-2026-46300: vulnerabilidad de escritura fuera de límites en la gestión de estructuras skb del kernel Linux. La incorrecta propagación de marcadores de fragmentos compartidos puede permitir a un atacante local realizar escrituras arbitrarias en memoria del kernel y escalar privilegios.

• CVE-2026-43494: vulnerabilidad de doble liberación de memoria en el subsistema RDS del kernel Linux. Un fallo en la gestión de contadores de referencias durante operaciones de zero-copy puede provocar corrupción de memoria y permitir la escalada de privilegios a nivel local.

• CVE-2026-50101: ausencia de expiración periódica de contraseñas. Los dispositivos Naxclow utilizan una credencial de retransmisión por dispositivo, almacenada en el servidor, que nunca cambia y se vuelve a emitir al dispositivo en cada arranque. Dado que esta credencial permanece válida indefinidamente y no puede ser restablecida ni revocada por el propietario legítimo, cualquier persona que la obtenga a través de cualquier vía de acceso puede mantener un acceso persistente al canal de retransmisión del dispositivo. Esto permite la suplantación de identidad o la interceptación a largo plazo, incluso después de restablecer la configuración de fábrica o volver a configurar el dispositivo.
• CVE-2026-28742: uso de clave criptográfica codificada. Los dispositivos Naxclow utilizan un esquema uniforme de firma de solicitudes basado en un valor aleatorio (salt) codificado en toda la plataforma e integrado en cada imagen de firmware. Una vez recuperado este valor de cualquier dispositivo, un atacante puede generar firmas válidas para operaciones arbitrarias de dispositivos o cuentas debido a la ausencia de claves por dispositivo, seguimiento de nonce en el servidor o protecciones contra ataques de repetición. Sumado al uso de HTTP simple para el tráfico del plano de control, esta configuración permite la falsificación de solicitudes y la suplantación de identidad a gran escala en toda la plataforma.
• CVE-2026-42947: omisión de autorización mediante clave controlada por el usuario. Vulnerabilidad en el proceso de incorporación de la plataforma Naxclow permite a un atacante repetir una secuencia de confirmación y vinculación para reasignar silenciosamente un dispositivo a una cuenta arbitraria. Dado que los puntos finales afectados validan las firmas de las solicitudes, pero no confirman la propiedad legítima, un atacante con cualquier cuenta puede tomar el control de un dispositivo sin interacción del usuario, mientras que el dispositivo permanece en línea y sin que el usuario se dé cuenta.
• CVE-2026-50108: ausencia de autorización. La API de la plataforma Naxclow, que devuelve los detalles de registro del relé del dispositivo, expone una credencial persistente sin verificar que el solicitante sea el dispositivo o propietario legítimo. Un atacante capaz de presentar una firma de solicitud válida para la plataforma puede obtener credenciales de dispositivos arbitrarios y registrarse en el relé como si fuera dicho dispositivo, lo que permite interceptar e interrumpir sus comunicaciones.