Se han descubierto múltiples vulnerabilidades en productos Ubiquiti. Entre ellas, tres de severidad crítica. Un actor malicioso podría aprovechar estos errores para evadir los mecanismos de autenticación, acceder a información confidencial, elevar privilegios o lograr la ejecución remota de código en los sistemas afectados.
Productos afectados
- Agente empresarial UID: versiones anteriores a la 1.61.4.
- UniFi OS: versiones hasta la 5.1.12.
- UniFi OS Server: versiones hasta la 5.0.8.
- UDM Pro / SE / Max: versiones hasta la 5.1.11.
- UNAS (UniFi Network Storage): versiones hasta la 5.1.10.
- UniFi Express: versiones hasta la 4.0.14.
Impacto
Las vulnerabilidades se han identificado como:
CVE-2026-47370: con una puntuación de 9.9 en CVSS v3.1. Existe una vulnerabilidad de inyección de comandos debido a una validación de entrada incorrecta en el sistema operativo UniFi OS de Ubiquiti Inc. Esta deficiencia permitiría a un actor malicioso remoto con acceso a la red y privilegios mínimos manipular las entradas de datos enviadas al sistema para evadir el entorno restringido y ejecutar comandos arbitrarios en el sistema operativo del dispositivo o instancia afectada.
CVE-2026-47369: con una puntuación de 9.9 en CVSS v3.1. Existe una vulnerabilidad de escalada de privilegios debido a una validación de entrada incorrecta en el sistema operativo UniFi OS de Ubiquiti Inc. Un actor malicioso remoto con privilegios mínimos podría manipular los datos enviados al sistema para evadir las restricciones de seguridad y elevar sus privilegios de forma no autorizada dentro de la instancia afectada.
CVE-2026-47367: con una puntuación de 9.9 en CVSS v3.1. Existe una vulnerabilidad de inyección de comandos debido a una validación de entrada incorrecta en el software de gestión de identidades y accesos UID Enterprise Agent de Ubiquiti Inc. Esto podría permitir a un actor malicioso remoto con acceso a la red y privilegios mínimos manipular las entradas de datos procesadas por la aplicación para evadir el entorno restringido y ejecutar comandos arbitrarios en el sistema operativo del dispositivo host.
Recomendación
Actualizar a la última versión disponible a través del sitio web oficial del fabricante.
Referencias