Alerta crítica de seguridad: Se ha publicado una vulnerabilidad de inyección de comandos en la familia de dispositivos de gestión fuera de banda de Lantronix, identificada como CVE-2026-80151. Esta falla permite a un atacante autenticado con el permiso de servicios ejecutar comandos arbitrarios como root en el dispositivo afectado, comprometiendo totalmente su confidencialidad, integridad y disponibilidad. La puntuación CVSS v4 es de 9.4 (Crítica), por lo que se recomienda aplicar las actualizaciones de firmware publicadas por el fabricante de manera inmediata.
Resumen ejecutivo
| CVE | CVE-2026-80151 |
|---|---|
| Fabricante | Lantronix |
| Producto | SLC8000, EMG8500, EMG7500, SLB882, SLCx-03, SLCx-02 |
| Fecha de publicación | 2026-09-22 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.4 (CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H) |
| Prioridad | 225 (según RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-80151 es un fallo de inyección de comandos de sistema operativo (CWE-78) en varios dispositivos de gestión de consolas y energía fuera de banda de Lantronix. El problema reside en el comando set nfs download, que pasa la entrada del usuario sin sanear a una llamada al sistema system().
Un atacante que pueda autenticarse en la interfaz de terminal o CLI del dispositivo y que disponga del permiso de servicios puede explotar esta debilidad. Al inyectar comandos maliciosos a través del parámetro no saneado, el atacante puede ejecutar comandos arbitrarios de shell con privilegios de root en el sistema operativo subyacente.
Esta vulnerabilidad afecta a los siguientes modelos y versiones de firmware:
- Lantronix SLC8000: versiones anteriores a la
v9.7.0.3. - Lantronix EMG8500: versiones anteriores a la
v9.7.0.1. - Lantronix EMG7500: versiones anteriores a la
v9.7.0.1. - Lantronix SLB882: todas las versiones de firmware.
- Lantronix SLCx-03: todas las versiones de firmware.
- Lantronix SLCx-02: todas las versiones de firmware.
La explotación exitosa de esta vulnerabilidad puede resultar en la pérdida total de confidencialidad, integridad y disponibilidad del dispositivo afectado. Además, dado que estos dispositivos suelen gestionar equipos conectados en serie, el impacto podría extenderse a los dispositivos conectados aguas abajo, comprometiendo potencialmente la infraestructura crítica que gestionan.
Productos y versiones vulnerables
Según los datos publicados por CVE.org y NVD, la vulnerabilidad afecta a los siguientes productos de Lantronix. Es importante revisar la versión de firmware instalada en cada dispositivo para determinar si es necesario aplicar la actualización correspondiente.
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| SLC8000 | Anteriores a 9.7.0.3 | 9.7.0.3 (R3) |
| EMG8500 | Anteriores a 9.7.0.1 | 9.7.0.1 (R2) |
| EMG7500 | Anteriores a 9.7.0.1 | 9.7.0.1 (R2) |
| SLB882 | Todas las versiones | No publicado por las fuentes consultadas |
| SLCx-03 | Todas las versiones | No publicado por las fuentes consultadas |
| SLCx-02 | Todas las versiones | No publicado por las fuentes consultadas |
Para los modelos SLB882, SLCx-03 y SLCx-02, las fuentes consultadas indican que todas las versiones de firmware están afectadas, pero no se ha publicado una versión corregida específica en los datos analizados. Se recomienda consultar el aviso oficial del fabricante para obtener información actualizada sobre la disponibilidad de parches para estos modelos.
Impacto y riesgo
La vulnerabilidad CVE-2026-80151 ha recibido una puntuación CVSS v4.0 de 9.4, clasificada como CRITICAL. El vector asociado es CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H, lo que indica un impacto total en la confidencialidad, integridad y disponibilidad tanto del dispositivo comprometido como de los sistemas conectados a él.
La explotación exitosa permite a un atacante autenticado con el permiso services ejecutar comandos arbitrarios de shell con privilegios root en el dispositivo. Esto se logra mediante la inyección de comandos a través del comando set nfs download, que pasa entrada de usuario sin sanitizar a una llamada al sistema system().
El riesgo principal radica en que estos dispositivos son consolas de administración fuera de banda (out-of-band management). Un compromiso total del dispositivo podría permitir al atacante:
- Acceder a la consola serie de los equipos conectados (switches, routers, servidores) y comprometerlos de forma encadenada.
- Modificar la configuración de red del dispositivo para redirigir el tráfico de administración.
- Instalar persistencia en el firmware o en el sistema de archivos para mantener el acceso a largo plazo.
- Interceptar o alterar comunicaciones sensibles que pasen por el dispositivo.
Dado que el vector de ataque es de red (AV:N) y la complejidad es baja (AC:L), el riesgo práctico es alto, aunque se requiere autenticación previa con un nivel de permiso específico. Las organizaciones que utilicen estos dispositivos en entornos de producción deben tratar esta vulnerabilidad con máxima prioridad.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información que confirme explotación activa de esta vulnerabilidad en entornos reales. No se ha incluido ningún dato sobre campañas, malware o pruebas de concepto públicas que indiquen que la vulnerabilidad esté siendo explotada.
Sin embargo, la naturaleza de la vulnerabilidad (inyección de comandos con privilegios root) y su puntuación crítica la convierten en un objetivo atractivo para actores malintencionados. La ausencia de confirmación de explotación no debe interpretarse como un riesgo bajo; simplemente refleja que los datos públicos disponibles no incluyen esa información en el momento de la publicación.
Se recomienda encarecidamente aplicar las actualizaciones de firmware disponibles sin demora, especialmente en dispositivos expuestos a redes de administración o accesibles desde Internet.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío en los datos analizados.
Dado que no se dispone de IOC publicados, no deben inventarse ni utilizarse indicadores de fuentes no verificadas. En ausencia de IOC específicos, se recomienda a los administradores:
- Revisar los registros de auditoría de los dispositivos SLC8000, EMG8500, EMG7500, SLB882, SLCx-03 y SLCx-02 en busca de comandos
set nfs downloadinusuales o con parámetros sospechosos. - Monitorizar la creación de cuentas de usuario nuevas o modificaciones en los permisos de cuentas existentes.
- Verificar la integridad del firmware instalado y comparar los hash con los valores publicados por el fabricante.
- Revisar los registros de conexiones salientes desde los dispositivos hacia direcciones IP o dominios desconocidos.
Estas acciones no sustituyen a los IOC oficiales, pero pueden ayudar a detectar actividad anómala mientras se aplican los parches de seguridad.
Cómo comprobar si estás afectado
Para determinar si tu infraestructura está expuesta a CVE-2026-80151, debes verificar dos aspectos fundamentales: la versión de firmware instalada en los dispositivos y la configuración de permisos de los usuarios. La vulnerabilidad afecta a los siguientes productos y versiones según los datos publicados por CVE.org:
| Producto | Versiones afectadas |
|---|---|
| Lantronix SLC8000 | Anteriores a 9.7.0.2 (la descripción de NVD indica que la corrección está en 9.7.0.3) |
| Lantronix EMG8500 | Anteriores a 9.7.0.1 |
| Lantronix EMG7500 | Anteriores a 9.7.0.1 |
| Lantronix SLB882 | Todas las versiones |
| Lantronix SLCx-03 | Todas las versiones |
| Lantronix SLCx-02 | Todas las versiones |
El método exacto para consultar la versión de firmware depende de la interfaz de administración de cada dispositivo. Se recomienda revisar la documentación oficial de Lantronix para obtener el procedimiento específico. En términos generales, la versión de firmware suele estar disponible en la página de estado del sistema o mediante la línea de comandos del dispositivo.
Además de la versión, es imprescindible comprobar si existen cuentas de usuario con el permiso services habilitado. La vulnerabilidad solo puede ser explotada por atacantes autenticados que dispongan de este permiso. Si tu organización no utiliza esta clase de permisos o los tiene restringidos a personal de confianza, el riesgo de explotación se reduce significativamente, aunque no se elimina por completo.
Nota importante: Los dispositivos afectados son consolas de administración fuera de banda (out-of-band) que suelen conectarse a equipos seriales críticos. Un compromiso de estos sistemas podría permitir al atacante interactuar con los dispositivos conectados a través del puerto serie, amplificando el impacto más allá del propio equipo Lantronix.
Mitigación y actualización
En el momento de la publicación de esta CVE, el fabricante Lantronix ha puesto a disposición de los administradores actualizaciones de firmware para los productos afectados. Las URLs de descarga referenciadas en las fuentes consultadas son las siguientes:
- SLC8000: https://ts.lantronix.com/ftp/slc8000/9.7.0.3R3/
- EMG8500: https://ts.lantronix.com/ftp/emg/EMG_8500/9.7.0.1R2/
- EMG7500: https://ts.lantronix.com/ftp/emg/EMG_7500/9.7.0.1R2/
Para los productos SLB882, SLCx-03 y SLCx-02, las fuentes consultadas indican que todas las versiones están afectadas, pero no se ha publicado una URL de actualización específica en las referencias de NVD o CVE.org. Se recomienda contactar directamente con el soporte de Lantronix o consultar su portal de descargas para obtener información sobre la disponibilidad de parches.
Mientras se aplica la actualización, se recomienda adoptar las siguientes medidas de contención:
- Restringir el acceso a la interfaz de administración (CLI o terminal) únicamente a direcciones IP autorizadas mediante listas de control de acceso (ACL) en el firewall o en el propio dispositivo.
- Revisar las cuentas de usuario existentes y eliminar o deshabilitar aquellas que tengan el permiso services y no sean estrictamente necesarias.
- Auditar los registros de acceso y búsqueda de actividades anómalas en los dispositivos afectados.
- Segmentar la red para que los dispositivos Lantronix no sean accesibles desde redes no confiables.
Checklist para administradores
- ☐ Identificar todos los dispositivos Lantronix SLC8000, EMG8500, EMG7500, SLB882, SLCx-03 y SLCx-02 presentes en la infraestructura.
- ☐ Verificar la versión de firmware actual de cada dispositivo y compararla con las versiones corregidas publicadas por el fabricante.
- ☐ Revisar la configuración de usuarios y permisos, prestando especial atención a las cuentas con permiso services.
- ☐ Aplicar la actualización de firmware correspondiente a cada producto afectado, siguiendo los procedimientos oficiales de Lantronix.
- ☐ Para SLB882, SLCx-03 y SLCx-02, contactar con el soporte de Lantronix para conocer la disponibilidad de parches.
- ☐ Restringir el acceso a la interfaz de administración mediante ACL o firewall.
- ☐ Auditar los registros de acceso de los dispositivos en busca de actividad sospechosa.
- ☐ Documentar las acciones realizadas y mantener un inventario actualizado de firmware y configuraciones.
Preguntas frecuentes
¿Qué es la vulnerabilidad CVE-2026-80151?
Es una vulnerabilidad de inyección de comandos (CWE-78) en dispositivos Lantronix que permite a un atacante autenticado con permiso services ejecutar comandos arbitrarios como root a través del comando set nfs download, que pasa entrada de usuario sin sanitizar a una llamada system().
¿Qué productos están afectados?
Los productos afectados son: SLC8000 (anterior a 9.7.0.2 según CVE.org, aunque NVD menciona 9.7.0.3 como versión corregida), EMG8500 y EMG7500 (anteriores a 9.7.0.1), y todas las versiones de SLB882, SLCx-03 y SLCx-02.
¿Qué permisos necesita un atacante para explotar esta vulnerabilidad?
El atacante debe tener autenticación válida en el dispositivo y contar con el permiso services. No se requiere acceso físico ni privilegios de administrador del sistema.
¿Cuál es el impacto de la explotación?
La explotación exitosa permite la ejecución de comandos como root, lo que compromete por completo la confidencialidad, integridad y disponibilidad del dispositivo. Además, dado que estos equipos suelen gestionar dispositivos seriales conectados, el impacto podría extenderse a los sistemas conectados a través del puerto serie.
¿Existen parches disponibles?
Sí, para SLC8000, EMG8500 y EMG7500 se han publicado actualizaciones de firmware en las URLs oficiales de Lantronix referenciadas en las fuentes. Para SLB882, SLCx-03 y SLCx-02 no se ha publicado una URL de actualización en las fuentes consultadas; se recomienda contactar con el fabricante.
¿Cómo puedo mitigar el riesgo si no puedo actualizar de inmediato?
Como medida temporal, restrinja el acceso a la interfaz de administración mediante ACL, revise y elimine cuentas con permiso services innecesarias, y supervise los registros de acceso en busca de actividades anómalas.