Los investigadores de ciberseguridad han descubierto una falla de seguridad crítica en la serie de teléfonos VoIP Grandstream GXP1600 que podría permitir a un atacante tomar el control de los dispositivos vulnerables.
La vulnerabilidad, rastreada como CVE-2026-2329 , tiene una puntuación CVSS de 9,3 sobre un máximo de 10,0. Se ha descrito como un caso de desbordamiento del búfer basado en una pila no autenticado que podría provocar la ejecución remota de código.
«Un atacante remoto puede aprovechar el CVE-2026-2329 para lograr la ejecución remota de código (RCE) no autenticada con privilegios de root en un dispositivo objetivo», dijo Stephen Fewer, investigador de Rapid7, quien descubrió e informó del error el 6 de enero de 2026, dijo .
Según la empresa de ciberseguridad, el problema tiene su origen en el servicio de API basado en la web del dispositivo («/cgi-bin/api.values.get») y se puede acceder a él en una configuración predeterminada sin necesidad de autenticación.
Este punto final está diseñado para obtener uno o más valores de configuración del teléfono, como el número de versión del firmware o el modelo, mediante una cadena delimitada por dos puntos en el parámetro «solicitud» (por ejemplo, «request=68:phone_model»), que luego se analiza para extraer cada identificador y añadirlo a un búfer de 64 bytes de la pila.
enlaces«Al añadir otro carácter al búfer pequeño de 64 bytes, no se comprueba la longitud para garantizar que no se escriban más de 63 caracteres (más el terminador nulo adjunto) en este búfer», explica Fewer. «Por lo tanto, un parámetro de 'solicitud' controlado por un atacante puede escribir más allá de los límites del pequeño búfer de 64 bytes de la pila y desbordarse en la memoria de la pila adyacente».
Esto significa que un parámetro malintencionado de «solicitud» delimitado por dos puntos que se envía como parte de una solicitud HTTP al punto final «/cgi-bin/api.values.get» se puede usar para provocar un desbordamiento del búfer basado en la pila, lo que permite a los actores de amenazas dañar el contenido de la pila y, en última instancia, lograr la ejecución remota de código en el sistema operativo subyacente.
La vulnerabilidad afecta a los modelos GXP1610, GXP1615, GXP1620, GXP1625, GXP1628 y GXP1630. Se ha abordado como parte de un actualización de firmware ( versión 1.0.7.81 ) publicado a finales del mes pasado.
En un Módulo de exploits Metasploit desarrollado por Rapid7, se ha demostrado que la vulnerabilidad podría aprovecharse para obtener privilegios de root en un dispositivo vulnerable y encadenarlos con un componente posterior a la explotación para extraer las credenciales almacenadas en un dispositivo comprometido.
Además, las capacidades de ejecución remota de código se pueden utilizar como armas para reconfigurar el dispositivo objetivo para que utilice un proxy malicioso del Protocolo de inicio de sesión (SIP), lo que permite al atacante interceptar las llamadas telefónicas desde y hacia el dispositivo y escuchar a escondidas las conversaciones de VoIP. A Proxy SIP es un servidor intermediario en redes VoIP para establecer y gestionar llamadas de voz/vídeo entre terminales.
«No se trata de una hazaña de un solo clic con fuegos artificiales y una pancarta de victoria», dijo Douglas McKee, de Rapid7 dijo . «Sin embargo, la vulnerabilidad subyacente reduce la barrera de una manera que debería preocupar a cualquiera que utilice estos dispositivos en entornos expuestos o ligeramente segmentados».
Post generado automáticamente, fuente oficial de la información: THEHACKERNEWS