Alerta crítica: Lantronix ha publicado actualizaciones de firmware para corregir una vulnerabilidad crítica de desbordamiento de búfer en la pila (CVE-2026-80147) que afecta a sus dispositivos de gestión de consolas y redes (SLC8000, EMG8500, EMG7500, SLB882, SLCx-03 y SLCx-02). Un atacante autenticado podría explotar esta falla para ejecutar código arbitrario y comprometer por completo el dispositivo, así como los equipos conectados en serie.
Resumen ejecutivo
Se ha identificado una vulnerabilidad crítica de desbordamiento de búfer en la pila (CWE-121) en varios dispositivos de Lantronix utilizados para la gestión de consolas y la administración de redes. La falla, catalogada como CVE-2026-80147, permite a un atacante con credenciales válidas de cualquier usuario ejecutar código arbitrario en el dispositivo afectado.
La explotación exitosa de esta vulnerabilidad podría resultar en la pérdida total de confidencialidad, integridad y disponibilidad del dispositivo, así como de los equipos conectados a través de puertos serie. Se recomienda encarecidamente a los administradores que revisen el aviso oficial del fabricante y apliquen las actualizaciones de firmware publicadas.
| CVE | CVE-2026-80147 |
|---|---|
| Fabricante | Lantronix |
| Producto | SLC8000, EMG8500, EMG7500, SLB882, SLCx-03, SLCx-02 |
| Fecha de publicación | 2026-09-22 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.4 (CVSS:4.0) |
| Prioridad RyzerBot | 225 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-80147 es un desbordamiento de búfer basado en pila que reside en un comando mfc eeprom write no documentado. Este comando copia datos de entrada del usuario, sin un límite adecuado, a un búfer de tamaño fijo en la pila. Posteriormente, el contenido de este búfer se pasa a una llamada al sistema system().
La causa raíz es la falta de validación de la longitud de la entrada del usuario. Al proporcionar una entrada de tamaño excesivo, un atacante puede sobrescribir la pila de llamadas y controlar el flujo de ejecución del programa. Esto permite la inyección y ejecución de comandos arbitrarios en el sistema operativo subyacente del dispositivo.
Es importante destacar que el atacante necesita autenticarse previamente en el dispositivo, ya sea a través de la interfaz de línea de comandos (CLI) o de la interfaz de terminal. Sin embargo, puede hacerlo con las credenciales de cualquier usuario, sin necesidad de privilegios administrativos. Una vez autenticado, puede enviar la entrada manipulada para desencadenar el desbordamiento.
La gravedad de esta vulnerabilidad se ve incrementada por el hecho de que estos dispositivos suelen ser puntos de gestión centralizados para otros equipos. Un compromiso de estos sistemas podría proporcionar al atacante un acceso indirecto a los dispositivos conectados en serie, ampliando significativamente la superficie de ataque.
Lantronix ha publicado actualizaciones de firmware para abordar esta vulnerabilidad en los modelos afectados. Los administradores deben aplicar estos parches de manera inmediata para mitigar el riesgo.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-80147 afecta a varios dispositivos de gestión de consolas y conmutadores serie de Lantronix. Según las fuentes consultadas (CVE.org y NVD), los productos y versiones afectadas son los siguientes:
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Lantronix SLC8000 | Anteriores a v9.7.0.2 |
v9.7.0.2 |
| Lantronix EMG8500 | Anteriores a v9.7.0.1 |
v9.7.0.1 |
| Lantronix EMG7500 | Anteriores a v9.7.0.1 |
v9.7.0.1 |
| Lantronix SLB882 | Todas las versiones de firmware | No publicado por las fuentes consultadas |
| Lantronix SLCx-03 | Todas las versiones de firmware | No publicado por las fuentes consultadas |
| Lantronix SLCx-02 | Todas las versiones de firmware | No publicado por las fuentes consultadas |
Para los productos SLB882, SLCx-03 y SLCx-02, las fuentes consultadas no publican una versión corregida específica. Se recomienda consultar el aviso oficial del fabricante para obtener información actualizada sobre la disponibilidad de parches.
Las referencias a los parches publicados por el fabricante están disponibles en los siguientes enlaces:
Impacto y riesgo
La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS de 9.4 según el vector CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H, presenta un riesgo elevado para la confidencialidad, integridad y disponibilidad de los dispositivos afectados y de los sistemas conectados a ellos.
El origen del problema es un desbordamiento de búfer basado en pila (CWE-121) en una comando no documentado de escritura EEPROM mfc. Este comando copia entrada del usuario sin límites en un búfer de pila de tamaño fijo, antes de pasarlo a una llamada al sistema system(). Un atacante autenticado podría explotar esta falla para ejecutar código arbitrario en el dispositivo.
El impacto potencial es severo:
- Pérdida completa de confidencialidad: el atacante podría acceder a información sensible procesada o almacenada por el dispositivo.
- Pérdida completa de integridad: podría modificar la configuración del dispositivo, los datos transmitidos o el firmware.
- Pérdida completa de disponibilidad: podría provocar denegaciones de servicio, reinicios o inutilización del dispositivo.
- Impacto en dispositivos serie conectados: dado que estos equipos actúan como consolas de administración fuera de banda (OOB), un compromiso podría extenderse a los dispositivos serie conectados, amplificando el daño potencial en la infraestructura.
La autenticación requerida es de nivel de usuario (privilegio bajo), lo que reduce la barrera de entrada para un atacante que ya tenga acceso a la interfaz de terminal o CLI del dispositivo.
Estado de explotación conocida
Según las fuentes consultadas, no se ha publicado información explícita sobre la explotación activa de esta vulnerabilidad en entornos reales. El vector CVSS incluye el campo E:X (Exploitability no definido), lo que indica que las fuentes no han proporcionado una valoración confirmada del estado de explotación.
Sin embargo, la existencia de un análisis técnico detallado (referenciado en revrb.net y en el aviso de VulnCheck) sugiere que la vulnerabilidad es técnicamente explotable y que podrían desarrollarse pruebas de concepto. Se recomienda encarecidamente aplicar los parches disponibles de manera inmediata y monitorizar los sistemas en busca de actividad anómala.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. Los campos correspondientes en el contexto JSON están vacíos. Por lo tanto, no se publican IOC literales en este análisis.
Dado que la vulnerabilidad permite la ejecución de código arbitrario, los administradores deberían buscar señales genéricas de compromiso, como:
- Modificaciones no autorizadas en la configuración del dispositivo.
- Presencia de procesos o servicios inusuales.
- Tráfico de red saliente anómalo desde los dispositivos afectados.
- Cambios en las cuentas de usuario o en los privilegios.
Estas recomendaciones son medidas generales de higiene digital y no sustituyen la monitorización específica basada en IOC confirmados.
Cómo comprobar si estás afectado
Para determinar si tu infraestructura está expuesta a CVE-2026-80147, debes verificar el modelo exacto y la versión de firmware de cada dispositivo Lantronix de la familia afectada. Las fuentes consultadas no publican un comando específico para obtener la versión desde la interfaz de línea de comandos (CLI), por lo que la comprobación debe realizarse a través de la interfaz de administración web o el menú de estado del sistema, accesible con las credenciales de administrador.
Los rangos afectados publicados por CVE.org son los siguientes:
| Producto | Versiones afectadas | Versión corregida publicada |
|---|---|---|
| Lantronix SLC8000 | Anteriores a 9.7.0.2 | 9.7.0.2 (enlace de descarga disponible en las referencias) |
| Lantronix EMG8500 | Anteriores a 9.7.0.1 | 9.7.0.1 (enlace de descarga disponible en las referencias) |
| Lantronix EMG7500 | Anteriores a 9.7.0.1 | 9.7.0.1 (enlace de descarga disponible en las referencias) |
| Lantronix SLB882 | Todas las versiones | No publicado por las fuentes consultadas |
| Lantronix SLCx-03 | Todas las versiones | No publicado por las fuentes consultadas |
| Lantronix SLCx-02 | Todas las versiones | No publicado por las fuentes consultadas |
Si el dispositivo muestra una versión de firmware anterior a las indicadas, o si pertenece a los modelos SLB882, SLCx-03 o SLCx-02, se considera afectado según los datos publicados por CVE.org y NVD. No se han publicado listas de dispositivos comprometidos (IOC) en las fuentes consultadas, por lo que la única vía fiable de detección es la revisión de versiones y el análisis de logs de acceso a la CLI o terminal.
Mitigación y actualización
La acción recomendada por las fuentes consultadas es clara: revisar el aviso oficial del fabricante y aplicar la actualización publicada. Lantronix ha puesto a disposición los siguientes paquetes de firmware, referenciados tanto por NVD como por CVE.org:
- SLC8000: firmware v9.7.0.2R1 disponible en ts.lantronix.com/ftp/slc8000/9.7.0.2R1/
- EMG8500: firmware v9.7.0.1R2 disponible en ts.lantronix.com/ftp/emg/EMG_8500/9.7.0.1R2/
- EMG7500: firmware v9.7.0.1R2 disponible en ts.lantronix.com/ftp/emg/EMG_7500/9.7.0.1R2/
Para los modelos SLB882, SLCx-03 y SLCx-02, las fuentes consultadas no publican una versión corregida específica. En estos casos, la mitigación debe centrarse en limitar el acceso a la interfaz de administración y a la CLI, aplicando listas de control de acceso (ACL) en la red y restringiendo el acceso a usuarios autorizados. Dado que la vulnerabilidad requiere autenticación previa, reducir la superficie de acceso y auditar las cuentas de usuario activas reduce significativamente el riesgo de explotación.
No se han publicado parches alternativos, workarounds oficiales ni firmas de detección en las fuentes consultadas. Cualquier medida adicional debe basarse en el aviso técnico de VulnCheck, disponible en las referencias, y en el análisis del fabricante.
Checklist para administradores
Utiliza esta lista para priorizar la respuesta ante CVE-2026-80147 en tu entorno:
- ☐ Inventariar todos los dispositivos Lantronix de la familia SLC8000, EMG8500, EMG7500, SLB882, SLCx-03 y SLCx-02.
- ☐ Verificar la versión de firmware actual de cada dispositivo mediante la interfaz de administración.
- ☐ Comparar las versiones con los rangos afectados publicados por CVE.org y NVD.
- ☐ Aplicar la actualización de firmware correspondiente en los modelos SLC8000, EMG8500 y EMG7500.
- ☐ Para SLB882, SLCx-03 y SLCx-02, contactar con el soporte de Lantronix para conocer el estado del parche.
- ☐ Restringir el acceso a la CLI y a la interfaz de administración mediante ACL de red.
- ☐ Auditar las cuentas de usuario y eliminar credenciales inactivas o de servicios.
- ☐ Revisar logs de acceso a los dispositivos en busca de intentos de autenticación anómalos o entradas de gran tamaño.
- ☐ Monitorizar los dispositivos conectados en serie aguas abajo, ya que podrían verse afectados por un compromiso del equipo Lantronix.
- ☐ Documentar el estado de cada dispositivo y las acciones tomadas para futuras auditorías.
Preguntas frecuentes
¿Qué es CVE-2026-80147?
Es una vulnerabilidad de desbordamiento de búfer basado en pila (CWE-121) en dispositivos Lantronix de gestión fuera de banda. Permite a un atacante autenticado ejecutar código arbitrario mediante un comando no documentado de escritura EEPROM en el comando mfc, que copia entrada del usuario sin límites a un búfer de pila acotado antes de pasarlo a una llamada system().
¿Qué puntuación CVSS tiene?
La puntuación publicada es de 9.4 (CRÍTICA) según el vector CVSS:4.0 AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. Requiere autenticación previa, pero el impacto en confidencialidad, integridad y disponibilidad es total, tanto en el dispositivo como en los equipos conectados en serie.
¿Qué dispositivos están afectados?
Según CVE.org, están afectados Lantronix SLC8000 (anteriores a 9.7.0.2), EMG8500 y EMG7500 (anteriores a 9.7.0.1), y todas las versiones de SLB882, SLCx-03 y SLCx-02.
¿La vulnerabilidad requiere acceso físico?
No. El vector CVSS indica que la explotación es posible de forma remota (AV:N), aunque el atacante necesita credenciales válidas de cualquier usuario del dispositivo para autenticarse en la terminal o la CLI.
¿Existen IOC o indicadores de compromiso publicados?
No. Las fuentes consultadas (NVD y CVE.org) no publican IOC estructurados para esta vulnerabilidad. No deben inventarse indicadores; la detección debe basarse en la revisión de versiones y en el análisis de logs de acceso.
¿Qué hago si no puedo actualizar el firmware de inmediato?
Si no puedes aplicar el parche, restringe el acceso a la interfaz de administración y a la CLI mediante ACL de red, limita las cuentas de usuario activas y monitoriza los logs en busca de actividad anómala. Estas medidas no eliminan la vulnerabilidad, pero reducen la superficie de explotación.
Fuentes oficiales
Las siguientes referencias han sido publicadas por NVD y CVE.org para esta vulnerabilidad:
- NVD – Detalle de CVE-2026-80147
- RevRB – Descripción técnica (CVE.org CNA)
- Lantronix – Firmware SLC8000 v9.7.0.2R1
- Lantronix – Firmware EMG8500 v9.7.0.1R2
- Lantronix – Firmware EMG7500 v9.7.0.1R2
- VulnCheck – Advisory técnico
Mantente atento a las actualizaciones del fabricante para los modelos SLB882, SLCx-03 y SLCx-02, ya que las fuentes consultadas no publican todavía una versión corregida para ellos.