‹ Volver al listado

CVE-2026-63442

Estado: AplazadaAlta (8.1)—
Gravedad8.1Alta · CVSS 3.1
Probabilidad de explotación0.29 %mayor que el 20 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

OPNsense es una plataforma de cortafuegos y enrutamiento basada en FreeBSD. Antes de la versión 26.1.11, el campo usernamefld del inicio de sesión sin autenticar de WebGUI acepta caracteres de retorno de carro y de avance de línea que sobreviven al procesamiento LOG_AUTH a través de syslog-ng-lockout.conf hasta el destino de programa de syslog-ng que alimenta lockout_handler. El procesamiento readline() del consumidor trata un fragmento inyectado como un evento de autenticación separado y selecciona la primera dirección IP sintácticamente válida de la línea falsificada.

Leer descripción completaMostrar menos

Un atacante con acceso de red a la página de inicio de sesión puede falsificar eventos de fallo para otra IP, provocando que esa IP se añada a la tabla PF sshlockout y que sus estados activos se eliminen, o falsificar eventos de acceso aceptado que restablecen el contador de fuerza bruta del propio atacante. Esto puede bloquear direcciones de administración, DNS, de pasarela o de monitorización, y puede eludir el bloqueo por adivinación de contraseñas sin necesidad de autenticación. Este problema está corregido en la versión 26.1.11.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
8.1
Versión
3.1
Vector
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.29 %
Percentil entre todas las CVEs puntuadas
20
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:A/PR:N/UI:N; las líneas forjadas en el login bloquean IPs de administración/DNS (DoS) y permiten eludir el bloqueo de fuerza bruta, según la descripción.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningUser Account ManagementThreat Intelligence ProgramPrivileged Account ManagementPassword PoliciesNetwork Segmentation

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Opnsense — OpnsenseAI

CWE

Referencias

Mostrar las 3 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-63442",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-63442",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-15T20:24:38.956809Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 8.1,
          "attackVector": "ADJACENT_NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 5.2,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "opnsense",
          "product": "core",
          "versions": [
            {
              "status": "affected",
              "version": "< 26.1.11"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-15T16:18:19.157",
  "references": [
    {
      "url": "https://github.com/opnsense/core/commit/8bdaad95f405f4587bb83bf35aa652ca493cc2a4",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/opnsense/core/commit/c930ab586ffe2d2e010e5135657e5e054316ff58",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/opnsense/core/security/advisories/GHSA-2v2x-m4j7-76pv",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-117"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "OPNsense is a FreeBSD based firewall and routing platform. Prior to version 26.1.11, the unauthenticated WebGUI login usernamefld accepts carriage-return and line-feed characters that survive LOG_AUTH processing through syslog-ng-lockout.conf into the syslog-ng program destination feeding lockout_handler. The consumer's readline() processing treats an injected fragment as a separate authentication event and selects the first syntactically valid IP address from the forged line. An attacker with network access to the login page can forge failure events for another IP, causing that IP to be added to the sshlockout PF table and its active states to be killed, or forge accepted events that reset an attacker's own brute-force counter. This can block administrative, DNS, gateway, or monitoring addresses and can bypass password-guessing lockout without authentication. This issue is fixed in version 26.1.11."
    }
  ],
  "lastModified": "2026-10-16T18:18:00.230",
  "sourceIdentifier": "security-advisories@github.com"
}