Alerta Crítica: Lantronix ha publicado actualizaciones de firmware para corregir una vulnerabilidad de inyección de comandos (CVE-2026-80152) que afecta a sus consolas de administración fuera de banda (SLC8000, EMG8500/7500, SLB882, SLCx-03/SLCx-02). Un atacante autenticado con el permiso de services puede ejecutar comandos arbitrarios como root a través del comando set script schedule, comprometiendo por completo el dispositivo y los sistemas downstream conectados por puerto serie. La severidad es CRÍTICA con una puntuación CVSS de 9.4. Se recomienda aplicar los parches disponibles de inmediato.
Resumen ejecutivo
La vulnerabilidad CVE-2026-80152 es una inyección de comandos de sistema operativo (CWE-78) en los dispositivos de gestión remota fuera de banda de Lantronix. El fallo reside en el comando set script schedule, que pasa sin saneamiento la entrada del usuario a una llamada system(), permitiendo a un atacante autenticado con permisos de services ejecutar comandos con privilegios de root. El impacto es la pérdida total de confidencialidad, integridad y disponibilidad tanto del propio dispositivo como de los equipos conectados a sus puertos serie.
| Identificador | CVE-2026-80152 |
|---|---|
| Fabricante | Lantronix |
| Producto | SLC8000, EMG8500, EMG7500, SLB882, SLCx-03, SLCx-02 |
| Fecha de publicación | 2026-09-22 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.4 (CVSS:4.0) |
| Vector CVSS | CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
| Prioridad RyzerBot | 225 |
| Acción recomendada | Aplicar el firmware corregido disponible para cada producto afectado |
Qué es la vulnerabilidad
CVE-2026-80152 es una vulnerabilidad de inyección de comandos de sistema operativo (clasificada CWE-78) localizada en los dispositivos de gestión de consola de Lantronix. Estos equipos son consolas de administración fuera de banda (OOB) que permiten a los administradores acceder a los puertos serie de servidores, switches y otros equipos de red de forma remota.
El error fue introducido en el comando set script schedule, donde el parámetro de entrada no gestionado por el usuario se pasa directamente a una llamada system() sin ningún mecanismo de saneamiento. La llamada system() ejecuta el argumento como una terminal de shell, de modo que si esa entrada contiene un carácter casual como ; o el carácter ampasand (&&), el usuario puede añadir comandos arbitrarios que se ejecutarán con los privilegios del proceso.
Dado que el servicio que procesa el comando se ejecuta con privilegios de root, un atacante autenticado (aunque el rol o permiso requerido sea el de services, no puede obtener acceso pleno al sistema) podría obtenerlo de forma efectiva. Por tanto, la autenticación en la CLI o en la interfaz de gestión es un requisito previo, pero en el escenario de ataque más grave (origen de red, con un acceso tier), se cumple con una total pérdida de seguridad, todo lo que la puntuación CVSS 9.4 subraya.
El impacto mínimo es la vulneración del propio dispositivo, pero la naturaleza de estos equipos (consolas de administración de red centralizados) conlleva el impacto en todos los dispositivos conectados por puertos serie. Los dispositivos.
Detalle técnico clave: Los comandos maliciosa inyectada via la entrada no se llama desde un usuario no directo, pero un usuario con permisos de autenticación de la ejecución del sistema de la terminal podrá invocar la función del router, y se logra con una operación realmente simple.
De acuerdo con la línea de tiempo publicada por las fuentes, la vulnerabilidad fue reportada por el investigador que la identificó y fue clasificada como crítica por NVD. La versión actual de CVSSv9.3 para la referencia del sistema de coordenadas. Los usuarios afectados deben hacer un seguimiento de la aplicación de los parches oficiales, ya que hay la lista de versiones reparadas disponibles.
Attack scenario a nivel práctico: un administrador autenticado por la red no directo (o mediante una conexión) puede, usarse, la modificación de configuración del término y el intento de ejecutar en el propio sistema de la variable, una red y la vía para la conciencia del sistema.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-80152 afecta a dispositivos de gestión fuera de banda (out-of-band management) de Lantronix. Según la información publicada por CVE.org y el fabricante, las versiones afectadas son las siguientes:
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| SLC8000 | Anteriores a v9.7.0.3 | v9.7.0.3 |
| EMG8500 | Anteriores a v9.7.0.1 | v9.7.0.1 |
| EMG7500 | Anteriores a v9.7.0.1 | v9.7.0.1 |
| SLB882 | Todas las versiones | No publicado por las fuentes consultadas |
| SLCx-03 | Todas las versiones | No publicado por las fuentes consultadas |
| SLCx-02 | Todas las versiones | No publicado por las fuentes consultadas |
Para los productos SLC8000, EMG8500 y EMG7500, el fabricante ha publicado actualizaciones de firmware en su portal oficial (enlaces disponibles en las referencias). Para el resto de productos afectados —SLB882, SLCx-03 y SLCx-02—, no se ha publicado una versión corregida según los datos disponibles.
Nota: la información de versiones se ha extraído de los datos publicados por CVE.org y NVD. Para confirmar la afectación exacta de su entorno, consulte el aviso oficial de Lantronix.
Impacto y riesgo
Esta vulnerabilidad ha sido clasificada como CRÍTICA con una puntuación CVSS v4.0 de 9.4 (vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H). La métrica refleja un impacto total sobre la confidencialidad, integridad y disponibilidad del dispositivo, así como sobre los sistemas conectados a través de la red.
Los dispositivos afectados son consolas de administración fuera de banda (out-of-band management), lo que incrementa la criticidad del fallo. Un atacante autenticado que disponga del permiso de services puede explotar la vulnerabilidad de inyección de comandos a través del comando set script schedule para ejecutar comandos arbitrarios con privilegios de root en el sistema operativo subyacente. Esto implica:
- Compromiso total del dispositivo: acceso completo al sistema de archivos, configuración y credenciales almacenadas.
- Pivote hacia la red interna: al ser dispositivos de gestión out-of-band, suelen tener acceso a segmentos de red privilegiados y a otros sistemas.
- Impacto en dispositivos seriales conectados: la descripción indica que el atacante podría afectar a dispositivos conectados por puerto serie, alterando su funcionamiento o accediendo a sus comunicaciones.
- Pérdida de confidencialidad, integridad y disponibilidad: el vector CVSS indica un impacto alto en los tres dominios, tanto en el propio equipo como en el entorno (SC/SI/SA).
Aunque el atacante necesita autenticación y un permiso específico (services), el requisito de red es bajo (AV:N) y la complejidad de ataque es baja (AC:L). En entornos donde estos dispositivos están expuestos a interfaces de gestión accesibles desde la red, el riesgo práctico es elevado.
Estado de explotación conocida
Las fuentes consultadas para esta publicación —NVD, CVE.org y el aviso de VulnCheck— no publican información sobre explotación activa en la naturaleza. No se ha confirmado ni documentado ningún exploit público ni campaña activa que aproveche esta vulnerabilidad. No obstante, la naturaleza de la vulnerabilidad (inyección de comandos clásica a través de una llamada a system() sin saneamiento) facilita el desarrollo de un exploit funcional por parte de un atacante con conocimientos técnicos moderados.
Indicadores de compromiso (IOC)
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas (NVD, CVE.org, VulnCheck). RYZER.ES no inventa ni genera IOC que no provengan de fuentes verificadas. En caso de sospecha de compromiso, se recomienda revisar los registros de auditoría de los dispositivos afectados en busca de:
- Ejecución de comandos set script schedule con parámetros inusuales o que contengan caracteres de shell (
;,&&,|, etc.). - Conexiones salientes no autorizadas desde estos dispositivos hacia direcciones IP externas.
- Modificaciones no autorizadas en la configuración de scripts programados o en archivos del sistema.
Estas recomendaciones son de carácter general y no constituyen una lista exhaustiva de IOC publicados.
Cómo comprobar si estás afectado
Para determinar si tu infraestructura está expuesta a CVE-2026-80152, debes verificar dos aspectos fundamentales: el modelo de dispositivo y la versión de firmware instalada. La vulnerabilidad afecta a los siguientes productos de Lantronix:
- SLC8000: todas las versiones de firmware anteriores a
v9.7.0.3. - EMG8500 y EMG7500: todas las versiones de firmware anteriores a
v9.7.0.1. - SLB882, SLCx-03 y SLCx-02: todas las versiones de firmware publicadas se consideran afectadas según la información disponible en CVE.org.
El primer paso es acceder a la interfaz de administración de cada dispositivo y consultar la versión de firmware actual. Este dato suele estar disponible en la sección de información del sistema o estado del dispositivo. Compara la versión instalada con las versiones corregidas indicadas anteriormente. Si tu versión es inferior o no encuentras el dato, considera el dispositivo como potencialmente vulnerable.
Además, debes revisar los permisos de los usuarios configurados en el dispositivo. La explotación requiere que el atacante tenga el permiso services y pueda autenticarse en la interfaz de terminal o CLI. Si tienes cuentas de usuario con este nivel de privilegio, el riesgo es especialmente relevante. Audita la lista de usuarios y verifica si alguno de ellos utiliza credenciales débiles, por defecto o compartidas.
Por último, revisa los registros de acceso y actividad del dispositivo en busca de intentos de autenticación sospechosos o comandos inusuales relacionados con set script schedule. Aunque no se han publicado IOC estructurados en las fuentes consultadas, la revisión de logs puede ayudarte a detectar actividad anómala previa a la aplicación del parche.
Mitigación y actualización
La acción principal recomendada es aplicar la actualización de firmware publicada por el fabricante. Según las referencias oficiales, Lantronix ha puesto a disposición los siguientes paquetes de corrección:
- SLC8000: firmware
v9.7.0.3R3disponible en el servidor FTP de Lantronix. - EMG8500: firmware
v9.7.0.1R2disponible en el servidor FTP de Lantronix. - EMG7500: firmware
v9.7.0.1R2disponible en el servidor FTP de Lantronix.
Antes de aplicar cualquier actualización, asegúrate de:
- Realizar una copia de seguridad completa de la configuración actual del dispositivo.
- Programar la actualización en una ventana de mantenimiento que minimice el impacto en las operaciones.
- Verificar la integridad del archivo de firmware descargado.
- Probar la actualización en un entorno de laboratorio si es posible.
Mientras se planifica la actualización, considera las siguientes medidas temporales:
- Restringir el acceso a la interfaz de administración únicamente a direcciones IP o redes de confianza mediante listas de control de acceso.
- Revisar y eliminar cuentas de usuario con el permiso
servicesque no sean estrictamente necesarias. - Cambiar las contraseñas de todas las cuentas con privilegios en el dispositivo.
- Monitorizar de forma activa los registros de autenticación y actividad del sistema.
Checklist para administradores
- ☐ Identificar todos los dispositivos Lantronix SLC8000, EMG8500, EMG7500, SLB882, SLCx-03 y SLCx-02 en la red.
- ☐ Registrar la versión de firmware actual de cada dispositivo afectado.
- ☐ Comparar las versiones instaladas con las versiones corregidas publicadas por el fabricante.
- ☐ Auditar las cuentas de usuario con permiso
servicesy eliminar las innecesarias. - ☐ Cambiar las contraseñas de todas las cuentas administrativas y de servicios.
- ☐ Restringir el acceso a la interfaz de administración mediante ACL o firewall.
- ☐ Descargar el firmware corregido desde las fuentes oficiales de Lantronix.
- ☐ Verificar la integridad de los archivos de firmware descargados.
- ☐ Programar la actualización en una ventana de mantenimiento adecuada.
- ☐ Realizar copias de seguridad de la configuración antes de actualizar.
- ☐ Aplicar la actualización de firmware en todos los dispositivos afectados.
- ☐ Verificar el correcto funcionamiento de los dispositivos tras la actualización.
- ☐ Revisar los registros de acceso en busca de actividad sospechosa previa.
- ☐ Documentar el proceso de actualización y las medidas adoptadas.
Preguntas frecuentes
¿Qué es CVE-2026-80152?
Es una vulnerabilidad de inyección de comandos en dispositivos de gestión remota de Lantronix. Permite a un atacante autenticado con permiso services ejecutar comandos arbitrarios como root a través del comando set script schedule, que pasa entrada de usuario sin sanitizar a una llamada system().
¿Qué dispositivos están afectados?
Los modelos SLC8000 (firmware anterior a v9.7.0.3), EMG8500 y EMG7500 (firmware anterior a v9.7.0.1), y todas las versiones de SLB882, SLCx-03 y SLCx-02.
¿Qué nivel de acceso necesita un atacante para explotar esta vulnerabilidad?
El atacante debe tener el permiso services y poder autenticarse en la interfaz de terminal o CLI del dispositivo. No se requiere acceso físico ni interacción del usuario.
¿Cuál es el impacto de la explotación?
La ejecución de comandos como root permite al atacante comprometer completamente la confidencialidad, integridad y disponibilidad del dispositivo. Además, podría afectar a los dispositivos conectados en serie aguas abajo.
¿Existen parches disponibles?
Sí. Lantronix ha publicado actualizaciones de firmware para SLC8000 (v9.7.0.3R3), EMG8500 (v9.7.0.1R2) y EMG7500 (v9.7.0.1R2). Los enlaces de descarga están disponibles en las referencias oficiales.
¿Cómo puedo mitigar el riesgo si no puedo actualizar inmediatamente?
Restringe el acceso a la interfaz de administración, elimina cuentas innecesarias con permiso services, cambia las contraseñas y monitoriza activamente los registros de actividad del dispositivo.