Una falla crítica de OpenWrt DHCPv6 podría permitir que atacantes no autenticados ejecuten código como raíz – CYBERDEFENSA.MX
OpenWrt ha enviado la versión 24.10.8 para cerrar un desbordamiento crítico de la pila DHCPv6 y un conjunto más amplio de fallas activables de forma remota en los servicios de red habilitados de forma predeterminada.
La cuestión crítica, rastreada como CVE-2026-53921 y con una puntuación de 9,8 en CVSS 3.1 en el aviso de GitHub de OpenWrt, permite que un atacante no autenticado capaz de acceder al servidor DHCPv6 sobrescriba un búfer de pila en odhcpd mediante una SOLICITUD DHCPv6 diseñada.
odhcpd se ejecuta como root, y el aviso señala que el hardware integrado comúnmente carece de valores canarios de pila y de aleatorización del diseño del espacio de direcciones (ASLR), lo que hace que la ejecución de código sea un resultado realista en dispositivos típicos.
El aviso incluye código público de prueba de concepto de Python para ambas rutas de desbordamiento documentadas. Los usuarios de la rama 24.10 deben instalar 24.10.8, mientras que los usuarios de la versión 25.12 deben instalar 25.12.5; Las imágenes de firmware están disponibles a través del Selector de firmware OpenWrt.
Hasta el 28 de julio, los materiales de OpenWrt revisados no reportaron explotación en la naturaleza. La falla tampoco estaba en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA. versión 2026.07.27aunque la ausencia de KEV no demuestra que no se haya producido explotación.
El lanzamiento llegó junto con una auditoría separada asistida por IA realizada por Casa hacker que identificó debilidades de inyección de comandos, recorrido de ruta y secuencias de comandos entre sitios (XSS) en componentes opcionales de LuCI. OpenWrt encontró un problema separado de XSS almacenado y faltaba protección contra falsificación de solicitudes entre sitios (CSRF) mientras preparaba las correcciones.
Estas correcciones separadas de LuCI no formaban parte de OpenWrt 24.10.8 y permanecieron bajo revisión el 28 de julio.
Un paquete al servidor DHCP predeterminado
El aviso asociado con CVE-2026-53921 documenta dos sitios de desbordamiento independientes en la ruta de procesamiento de solicitudes DHCPv6. En ambos, las opciones de IA diseñadas dejan espacio insuficiente en un búfer de pila fijo de 512 bytes antes de que el código agregue datos de respuesta adicionales sin una verificación de límites suficiente.
El desencadenante final es una SOLICITUD DHCPv6 no autenticada enviada al puerto UDP 547. La prueba de concepto de la primera ruta crea cinco enlaces IA_NA con una SOLICIT anterior; el segundo se activa mediante una única SOLICITUD diseñada.
El aviso enumera odhcpd master en la confirmación e432dd6 y todas las versiones anteriores que contienen dhcpv6_ia_handle_IAs() y build_ia() como afectadas. OpenWrt enumera 24.10.8 y 25.12.5 como las versiones compatibles que llevan la actualización de seguridad odhcpd relevante.
El aviso asocia sus dos sitios documentados con CVE-2026-53921, pero las notas de la versión 24.10.8 enumeran el desbordamiento RECONF_ACCEPT por separado como un problema de alta gravedad sin un CVE. OpenWrt solucionó las escrituras subyacentes verificando la capacidad restante del búfer de respuesta antes de agregar los datos afectados.
El aviso de OpenWrt agrupa ambos sitios desbordados bajo CVE-2026-53921, mientras que las notas de la versión enumeran RECONF_ACCEPT por separado sin un CVE. El mapeo exacto aún no está claro.
Las notas de la versión de OpenWrt describen la falla como alcanzable por un atacante no autenticado adyacente a la red. El vector CVSS 3.1 del aviso utiliza AV:N (Red), no AV:A (Adyacente), y ninguna fuente explica la diferencia. Un atacante todavía necesita acceso de red al servicio DHCPv6. Una explotación exitosa podría darle al atacante el control del enrutador en lugar de simplemente bloquear el servicio.
El Versión 24.10.8 También aborda otras debilidades de la autenticación previa en odhcpd, incluida una escritura fuera de límites, uso después de la liberación, divulgación de memoria, denegación de servicio, sobrelectura de pila y suplantación de proxy de descubrimiento de vecinos. Otras correcciones del servicio predeterminado cubren tres errores de contrabando de solicitudes HTTP en uhttpd y una falla de inyección de nombre de host DHCPv6, rastreada como CVE-2026-62948, que puede producir XSS almacenado cuando un administrador abre la página de arrendamientos de LuCI.
El mismo lanzamiento incluye CVE-2026-62947 en cgi-io, que puede exponer archivos arbitrarios legibles por raíz a través del recorrido de ruta. Ese problema requiere una sesión autenticada con el permiso de descarga cgi-io y una concesión de lectura de archivos comodín aplicable. No es una falla de lectura de archivos anónima.
OpenWrt 24.10 se encuentra en mantenimiento de seguridad y el final de su vida útil se proyecta para septiembre de 2026. El proyecto recomienda migrar a serie 25.12 antes de eso. Los paquetes instalados por separado de la imagen del firmware también pueden requerir actualizaciones por separado.
Los parches aún en revisión
Matthew Hickey, también conocido como Hacker Fantastic y CTO y cofundador de Hacker House, dijo públicamente que se habían publicado correcciones para problemas de ejecución remota de código y recorrido de ruta que informó a OpenWrt.
Publicado el mantenedor de OpenWrt, Hauke Mehrtens Solicitud de extracción de LuCI n.º 8878 el 26 de julio, acreditando explícitamente a Hickey y Hacker House. Una revisión realizada por The Hacker News el 28 de julio encontró que la solicitud de extracción aún estaba abierta y sin fusionar.
 |
| Fuente de la imagen: Casa Hacker |
Hacker House dijo que auditó las ramas principales de LuCI y uhttpd, utilizando el compromiso de LuCI. 3b4f44d8e3d9d5de35127b42dd449babe2d19fe5 del 27 de mayo y compromiso uhttpd 7b1bec45826bd78c8afc993435bdc0f1df2fe399 desde el 13 de junio.
Describió tres rutas de autenticación previa para comprometer el dispositivo: recorrido de directorio en luci-app-bmx7, XSS almacenado en luci-app-olsr e inyección de comandos en luci-app-commands. Los cuatro restantes requerían credenciales LuCI y podían usarse para ejecutar comandos en el dispositivo.
La firma dijo que cinco hallazgos fueron tratados inicialmente como rutas de ejecución de comandos posteriores a la autenticación, pero las pruebas de OpenWrt mostraron que un caso de luci-app-commands podría funcionar sin una sesión cuando un administrador había configurado un comando como público y parametrizado. La carga útil OLSR también se puede inyectar sin credenciales LuCI, aunque solo se ejecuta cuando un administrador abre la página de vecinos.
La solicitud de extracción de OpenWrt no asigna un compromiso a cada uno de los siete envíos de Hacker House. Dentro de la solicitud de extracción #8878, seis confirmaciones corresponden al informe de Hacker House, dos abordan debilidades de seguridad adicionales que OpenWrt encontró mientras preparaba las correcciones y una corrige un problema de nombre de archivo que no es de seguridad. La solicitud de extracción también identifica dos hallazgos del mismo conjunto de informes que ya se habían corregido en el maestro, por lo que los siete envíos no se asignan uno por uno a sus nueve confirmaciones.
The Hacker News todavía está esperando la respuesta de OpenWrt sobre el mapeo de CVE, las versiones afectadas y el estado del parche.
Los cambios de seguridad en la solicitud de extracción n.° 8878 incluyen:
- Comandos-de-la-aplicación-luci: Un carácter de tubería simple pasaba la lista de permitidos de argumentos de la aplicación y permitía que los comandos se ejecutaran como root. OpenWrt descubrió que la ruta también funcionaba sin una cookie de sesión o un token CSRF cuando un administrador había configurado un comando con el ‘1’ público y el parámetro ‘1’.
- luci-aplicación-ddns: La configuración ddns_dateformat podría inyectar comandos en una operación de ejecución raíz, mientras que service_name permitía el recorrido de ruta. OpenWrt encontró un problema de XSS almacenado por separado mientras preparaba las correcciones.
- luci-proto-openvpn: Los valores de configuración controlados por el atacante podrían llegar a los comandos del shell a través del tipo de clave, mientras que los parámetros del directorio de claves exponían las condiciones de recorrido de ruta.
- luci-aplicación-olsr: Un nodo de malla malicioso podría anunciar un nombre de host diseñado que ejecuta un script en el navegador cuando un administrador ve la página de vecinos OLSR.
La ruta luci-app-commands no autenticada tiene condiciones previas materiales. La aplicación opcional debe estar instalada y un administrador debe haber expuesto deliberadamente un comando parametrizado como público. Las otras rutas de ejecución de comandos requieren acceso LuCI autenticado y los permisos de configuración relevantes. La explotación exitosa ejecuta comandos como root. No son fallas generales de autenticación previa que afecten a todos los enrutadores OpenWrt.
un separado Solicitud de extracción de scripts ddns aborda la misma configuración insegura de ddns_dateformat fuera de LuCI. Un operador DDNS delegado podría colocar la sintaxis del shell en el valor, y la ejecución se producirá cuando se inicie el actualizador, incluso después de la reconfiguración o el reinicio. La misma verificación del 28 de julio encontró que la solicitud de extracción estaba abierta y no fusionada.
Otros dos hallazgos del mismo conjunto de informes ya se habían solucionado en la rama maestra de LuCI: un recorrido de ruta de lectura de archivos no autenticado en luci-app-bmx7 e inyección de comandos a través de ttyd_start en luci-app-dockerman. OpenWrt dijo que ambos todavía requerían backports para liberar ramas.
Hacker House dijo que el cruce de BMX7 se incluyó en su divulgación del 8 de julio y lo caracterizó como una ruta de autenticación previa para comprometer el dispositivo. OpenWrt aviso publico describe el impacto de manera más específica como acceso no autenticado a archivos legibles por el proceso CGI y acredita a nebusecurity como el reportero. Hacker House dijo que no sabe si los informes eran duplicados o por qué el crédito difiere.
IA en descubrimiento y revisión de parches
Hacker House describió la auditoría de OpenWrt como un proceso de inferencia difusa de cuatro etapas que comienza con un modelo de amenaza. El método examina repetidamente el código para generar un amplio conjunto de posibles vulnerabilidades.
Debido a que ese grupo contiene muchos falsos positivos, la etapa final utiliza un modelo de mayor precisión para filtrar los resultados. Luego, los investigadores confirman manualmente los hallazgos restantes en el código y, cuando sea práctico, en un sistema en ejecución antes de informarlos.
Hacker House dijo que Qwen 3.6 35B Heretic se utiliza para la etapa de inferencia difusa centrada en el recuerdo. Para la clasificación de la cuarta etapa en proyectos de código abierto, utiliza un modelo de frontera como Claude Opus 4.6 de Anthropic. Qwen 3.5 115B se puede sustituir cuando una auditoría debe ejecutarse completamente fuera de línea, permitiendo que el código fuente privado permanezca dentro del entorno del cliente.
Después de la clasificación, los investigadores inspeccionan manualmente el código y, cuando sea práctico, confirman el problema en tiempo de ejecución mediante pruebas de seguridad de aplicaciones dinámicas (DAST) estándar. Hacker House dijo que solo presenta hallazgos que ha confirmado como vulnerabilidades, aunque las cargas útiles de exploits pueden requerir ajustes durante la validación manual.
La firma dijo que les da a los proyectos de código abierto de siete a 10 días hábiles para reconocer un informe y luego trabaja con los mantenedores en su cronograma de remediación preferido. Si no llega ningún acuse de recibo, puede publicar detalles limitados para alentar al proyecto a responder o abordar el hallazgo.
OpenWrt también utilizó IA durante partes del proceso de remediación. Varias confirmaciones propuestas incluyen un tráiler Asistido por: Claude:claude-opus-5, y una revisión automatizada de la solicitud de extracción de LuCI dice que se generó con Claude Code. Por lo tanto, los modelos contribuyeron al descubrimiento de candidatos, la clasificación y la revisión de parches, mientras que los investigadores y mantenedores verificaron manualmente los hallazgos y las correcciones.
Para las correcciones enviadas, los usuarios deben instalar OpenWrt 24.10.8 o 25.12.5 y actualizar los paquetes instalados por separado. Los administradores también deben revisar los permisos delegados de LuCI, eliminar aplicaciones opcionales que no utilizan y comprobar si algún comando en luci-app-commands es público y está parametrizado.
A partir del 28 de julio, las dos solicitudes de extracción no enumeraban CVE, puntuaciones CVSS, rangos completos de versiones afectadas ni versiones fijas de paquetes estables. Ninguno informó explotación en la naturaleza.
