Alerta crítica de seguridad: Se ha detectado una vulnerabilidad de desbordamiento de búfer basado en pila en el router Totolink A3002MU (versión 1.0.0-B20230403.1455). La explotación remota es posible a través del componente QoS Rule Handler, lo que podría permitir a un atacante ejecutar código arbitrario o provocar una denegación de servicio. Se recomienda revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.
Resumen ejecutivo
| CVE | CVE-2026-105285 |
|---|---|
| Fabricante | Totolink |
| Producto | A3002MU |
| Publicación | 2026-10-05 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.3 (CVSS:4.0) |
| Prioridad | 195 (según RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
La vulnerabilidad CVE-2026-105285 afecta al router Totolink A3002MU en su versión de firmware 1.0.0-B20230403.1455. Se trata de un desbordamiento de búfer basado en pila (CWE-119, CWE-121) localizado en el archivo /boafrm/formIpQoS, dentro del componente QoS Rule Handler. La manipulación de los argumentos addQos, comment y entry_name permite a un atacante remoto desbordar la memoria de pila del dispositivo.
La explotación de esta vulnerabilidad es posible de forma remota, y el exploit ya ha sido divulgado públicamente, lo que incrementa significativamente el riesgo de ataques activos. Dado que el vector CVSS indica que no se requieren privilegios ni interacción del usuario, y que el impacto en confidencialidad, integridad y disponibilidad es alto, esta vulnerabilidad debe tratarse con máxima prioridad.
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-105285 es un desbordamiento de búfer basado en pila (stack-based buffer overflow) que afecta al router Totolink A3002MU. Este tipo de fallo ocurre cuando un programa escribe más datos en un búfer de memoria del que puede contener, sobrescribiendo así datos adyacentes en la pila de ejecución.
En este caso concreto, el fallo se encuentra en el archivo /boafrm/formIpQoS, que forma parte del componente QoS Rule Handler del router. Este componente es el encargado de gestionar las reglas de calidad de servicio (QoS), que permiten priorizar el tráfico de red según diferentes criterios.
El problema se desencadena al manipular los siguientes argumentos:
addQoscommententry_name
Al enviar datos especialmente diseñados a través de estos parámetros, un atacante puede provocar que el dispositivo escriba más datos de los esperados en la memoria de pila, corrompiendo la estructura de ejecución del sistema. Esto puede derivar en la ejecución de código arbitrario con los privilegios del proceso afectado, o en una denegación de servicio si el dispositivo se reinicia o queda en un estado inoperativo.
La clasificación CWE asignada es la siguiente:
- CWE-119: Mejora inadecuada de límites en operaciones sobre búferes de memoria.
- CWE-121: Desbordamiento de búfer basado en pila.
El vector CVSS completo es: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Este vector indica que la vulnerabilidad es explotable remotamente (AV:N), con baja complejidad de ataque (AC:L), sin necesidad de privilegios (PR:N) ni interacción del usuario (UI:N). El impacto es alto en todos los ejes de seguridad: confidencialidad, integridad y disponibilidad, tanto en el sistema vulnerable como en los sistemas adyacentes.
Es importante destacar que el exploit ya ha sido divulgado públicamente, lo que significa que cualquier atacante con conocimientos técnicos puede reproducir el ataque. Esto eleva considerablemente la urgencia de aplicar medidas correctivas.
Productos y versiones vulnerables
Según la información publicada por CVE.org y NVD, el producto afectado es el siguiente:
| Fabricante | Producto | Versión afectada | Estado |
|---|---|---|---|
| Totolink | A3002MU | 1.0.0-B20230403.1455 | Afectada |
No se han publicado otras versiones afectadas o anteriores en las fuentes consultadas. Se recomienda revisar el aviso oficial del fabricante para confirmar si existen otras versiones vulnerables o actualizaciones disponibles.
Impacto y riesgo
La vulnerabilidad CVE-2026-105285 ha sido clasificada con una puntuación CVSS v4.0 de 9.3, lo que la sitúa en el nivel de severidad CRÍTICO. El vector completo es:
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
El análisis del vector indica que la explotación es posible de forma remota (AV:N), con baja complejidad de ataque (AC:L) y sin requerir privilegios (PR:N) ni interacción del usuario (UI:N). El impacto sobre la confidencialidad, integridad y disponibilidad es alto tanto en el sistema vulnerable (VC/VI/VA:H) como en los sistemas colaterales (SC/SI/SA:H).
La causa raíz se encuentra en un desbordamiento de búfer basado en pila (CWE-119 y CWE-121) en el componente QoS Rule Handler, concretamente en el archivo /boafrm/formIpQoS. La manipulación de los argumentos addQos, comment y entry_name permite a un atacante remoto provocar una corrupción de memoria que podría derivar en la ejecución de código arbitrario o la denegación de servicio.
Dado que el producto afectado es un router inalámbrico, el riesgo se extiende a toda la red local que gestiona el dispositivo. Un compromiso exitoso podría permitir al atacante interceptar tráfico, modificar configuraciones de red, redirigir comunicaciones o utilizar el dispositivo como punto de apoyo para ataques posteriores contra otros sistemas de la red.
Estado de explotación conocida
Las fuentes consultadas indican que el exploit ha sido divulgado públicamente. La referencia incluida en NVD y CVE.org apunta a un gist público (https://gist.github.com/H3rmesk1t/b68352b011bc2825adc85cf336c25dfb) que contiene el detalle técnico de la explotación. Además, la entrada de VulDB (https://vuldb.com/vuln/413466/cti) incluye información de inteligencia de amenazas con firmas y requisitos de permisos asociados.
La descripción oficial de la vulnerabilidad afirma que «la explotación remota del ataque es posible» y que «el exploit ha sido divulgado públicamente y puede ser utilizado». Esto implica que existe un riesgo real de que actores malintencionados intenten aprovechar esta vulnerabilidad en dispositivos expuestos.
No se ha publicado información sobre campañas activas de explotación masiva en las fuentes consultadas, pero la divulgación pública del exploit aumenta significativamente la probabilidad de que sea incorporado a herramientas automatizadas de ataque.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. El campo enrichment.ioc aparece vacío, por lo que no se dispone de IOC publicados para esta vulnerabilidad en las referencias analizadas.
Se recomienda monitorizar los registros del dispositivo en busca de accesos anómalos al archivo /boafrm/formIpQoS o intentos de manipulación de los parámetros mencionados, así como revisar la integridad de la configuración del router de forma periódica.
Cómo comprobar si estás afectado
Para determinar si tu dispositivo es vulnerable a CVE-2026-105285, debes verificar la versión de firmware instalada en tu Totolink A3002MU. Según las fuentes consultadas, la versión afectada es 1.0.0-B20230403.1455.
El procedimiento general para comprobar la versión de firmware en la mayoría de los routers Totolink suele implicar acceder a la interfaz web de administración. Sin embargo, dado que no se han publicado instrucciones específicas del fabricante en las referencias analizadas, te recomendamos seguir estos pasos genéricos con cautela:
- Accede a la interfaz de administración del router a través de tu navegador web utilizando la dirección IP de la puerta de enlace (comúnmente
192.168.0.1o192.168.1.1). - Inicia sesión con tus credenciales de administrador.
- Busca la sección de información del sistema o estado del dispositivo. Normalmente se encuentra en menús como «System», «Status», «Administration» o «Device Info».
- Localiza el campo que indica la versión de firmware. Si coincide con
1.0.0-B20230403.1455, tu dispositivo está afectado.
Es importante señalar que la vulnerabilidad afecta al componente QoS Rule Handler y al archivo /boafrm/formIpQoS. Si tu dispositivo está expuesto a Internet o a redes no confiables, el riesgo de explotación remota es significativo, dado que el vector CVSS indica que no se requieren privilegios ni interacción del usuario.
Nota: No se han publicado en las fuentes consultadas métodos alternativos de verificación, como herramientas de escaneo específicas o comprobaciones por línea de comandos. La verificación a través de la interfaz web es el método más fiable y accesible.
Mitigación y actualización
En el momento de la publicación de este análisis, no se ha publicado un parche oficial o una versión de firmware corregida por parte de Totolink para abordar esta vulnerabilidad. Las referencias disponibles no incluyen un aviso de seguridad oficial del fabricante con instrucciones de actualización.
Mientras tanto, se recomienda implementar las siguientes medidas de mitigación temporales para reducir el riesgo de explotación:
- Restringir el acceso remoto: Deshabilita la administración remota del dispositivo (acceso WAN) si no es estrictamente necesaria. Limita el acceso a la interfaz de administración únicamente a redes locales de confianza.
- Segmentación de red: Aísla el router y los dispositivos IoT en una VLAN separada o una red de invitados para limitar el impacto potencial en otros sistemas críticos.
- Monitoreo de tráfico: Implementa reglas de firewall o sistemas de detección de intrusiones (IDS) para supervisar y bloquear tráfico sospechoso dirigido al puerto de administración o a los endpoints del QoS.
- Deshabilitar QoS si no se utiliza: Si la funcionalidad de QoS no es esencial para tu red, considera deshabilitarla temporalmente para reducir la superficie de ataque.
Es fundamental estar atento a los canales oficiales de Totolink (https://www.totolink.net/) para conocer la disponibilidad de actualizaciones de firmware. También puedes consultar las referencias de la vulnerabilidad para obtener información actualizada sobre posibles parches o avisos adicionales.
Checklist para administradores
Utiliza esta lista para verificar y mitigar la exposición a CVE-2026-105285 en tus dispositivos Totolink A3002MU:
- ☐ Identificar todos los dispositivos Totolink A3002MU en la red.
- ☐ Verificar la versión de firmware de cada dispositivo (afectada:
1.0.0-B20230403.1455). - ☐ Confirmar si la administración remota (WAN) está habilitada y deshabilitarla si no es imprescindible.
- ☐ Revisar las reglas de firewall para asegurar que el acceso a la interfaz de administración esté restringido a IPs de confianza.
- ☐ Evaluar si la funcionalidad QoS es necesaria; si no, deshabilitarla temporalmente.
- ☐ Segmentar la red para aislar dispositivos IoT o routers vulnerables.
- ☐ Monitorear logs y tráfico de red en busca de actividad anómala hacia el puerto de administración o el endpoint
/boafrm/formIpQoS. - ☐ Suscribirse a los canales de aviso de Totolink para recibir notificaciones sobre actualizaciones de firmware.
- ☐ Documentar el estado de cada dispositivo y las acciones tomadas para futuras referencias.
Preguntas frecuentes
¿Qué es CVE-2026-105285?
Es una vulnerabilidad crítica de desbordamiento de búfer basado en pila (stack-based buffer overflow) en el router Totolink A3002MU, específicamente en la versión de firmware 1.0.0-B20230403.1455. La falla se encuentra en el componente QoS Rule Handler y puede ser explotada de forma remota.
¿Cuál es la puntuación CVSS de esta vulnerabilidad?
La puntuación CVSS v4.0 asignada es 9.3 (Crítica), con el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X. Esto indica que la explotación es posible de forma remota sin necesidad de credenciales ni interacción del usuario.
¿Qué impacto puede tener si mi dispositivo es explotado?
Un atacante podría lograr la ejecución de código arbitrario en el dispositivo, comprometiendo su integridad y disponibilidad. Dado que el vector CVSS indica un alto impacto en confidencialidad, integridad y disponibilidad, el atacante podría tomar control del router, interceptar tráfico, modificar configuraciones o utilizarlo como punto de partida para atacar otros dispositivos en la red.
¿Existe un parche disponible para esta vulnerabilidad?
Según las fuentes consultadas, no se ha publicado un parche oficial hasta la fecha de este análisis. Se recomienda monitorear el sitio web del fabricante y las referencias de la CVE para conocer actualizaciones.
¿Cómo puedo protegerme si no hay parche disponible?
Implementa las medidas de mitigación descritas anteriormente: restringir el acceso remoto, segmentar la red, deshabilitar QoS si no es necesario y monitorear el tráfico. Estas acciones reducen la superficie de ataque y limitan el impacto potencial.
¿Debo reemplazar el dispositivo si no hay actualización?
Si el dispositivo es crítico para tu red y no se puede aplicar una mitigación efectiva, considera reemplazarlo por un modelo que reciba soporte activo y actualizaciones de seguridad periódicas. Esta decisión debe basarse en una evaluación de riesgos de tu entorno específico.
Fuentes oficiales
Las siguientes referencias fueron consultadas para la elaboración de este análisis. Se recomienda revisarlas para obtener información técnica detallada y actualizaciones: