Identificadas múltiples vulnerabilidades en CISA Malcolm

CISA ha publicado detalles sobre un conjunto de siete vulnerabilidades de seguridad que impactan en las versiones de Malcolm iguales o anteriores a la v26.07.1 y v26.08.0, según un aviso emitido por CISA Advisories. Estos fallos abarcan desde derivaciones de autenticación hasta falsificación de solicitudes entre sitios y manipulación de datos, presentando distintos niveles de severidad.

Tres de las vulnerabilidades han sido clasificadas con severidad ALTA: CVE-2026-107333, con un CVSS de 8.1, permite a un usuario autenticado sortear las restricciones de control de acceso basado en roles (RBAC) debido a una inconsistencia en la normalización de rutas URL en el proxy inverso Nginx. CVE-2026-107362, con un CVSS de 7.1, corresponde a una falsificación de solicitud del lado del servidor (SSRF) en el componente de carga de archivos, permitiendo la descarga de URLs arbitrarias. Por último, CVE-2026-107337, también con un CVSS de 7.1, es una falsificación de solicitud entre sitios (CSRF) que puede forzar la ejecución de comandos de gestión, incluyendo la eliminación permanente de tráfico de red capturado o la detención de la monitorización.

Las otras cuatro vulnerabilidades tienen una severidad MEDIA: CVE-2026-107336 (CVSS 6.5) implica una derivación de autenticación por suplantación en el proxy Nginx. CVE-2026-107335 (CVSS 6.5) se relaciona con un manejo inadecuado de datos altamente comprimidos, que podría provocar una denegación de servicio al agotar el espacio en disco del volumen compartido. CVE-2026-107334 (CVSS 5.4) es otro fallo de autorización incorrecta en la capa de control de acceso RBAC de Nginx Lua. Finalmente, CVE-2026-107361 (CVSS 4.2) permite una derivación de autenticación utilizando una ruta o canal alternativo al conectarse directamente al servicio de captura en vivo de Arkime.

CISA Malcolm es una herramienta de código abierto diseñada para análisis de tráfico de red y seguridad, crucial para la monitorización en infraestructuras críticas. Las vulnerabilidades fueron reportadas a CISA por Seth Grover del Idaho National Laboratory. Los parches para la mayoría de estos fallos se han implementado en Malcolm v26.08.0, mientras que las CVE-2026-107333 y CVE-2026-107362 se abordaron en la v26.09.0.

Hasta el momento, CISA no ha recibido informes de explotación pública de estas vulnerabilidades. La agencia recomienda a los usuarios adoptar medidas defensivas, como minimizar la exposición de la red de los dispositivos de control, aislarlos detrás de cortafuegos y utilizar VPNs seguras para el acceso remoto. También subraya la importancia de realizar un análisis de impacto y una evaluación de riesgos antes de implementar cualquier medida defensiva.