Vulnerabilidades en controladores CAN de HMS Networks podrían afectar a sistemas Windows

Seis vulnerabilidades han sido descubiertas en los controladores para Windows de los dispositivos CAN PEAK-System de HMS Networks, que incluyen PEAK-System Device Driver Setup (versiones iguales o anteriores a 5.1.2.1151) y PCAN Windows CAN device drivers (versiones iguales o anteriores a 5.1.2). La explotación exitosa de estos fallos, que requieren acceso local al sistema, podría resultar en un bloqueo del núcleo de Windows, provocando una denegación de servicio.

Entre las vulnerabilidades reportadas, una de ellas (CVE-2026-103672) ha sido calificada con una severidad Base alta (7.1 en CVSS v3.1). Las cinco restantes (CVE-2026-109576, CVE-2026-101103, CVE-2026-94188, CVE-2026-110322, CVE-2026-105960) presentan una severidad Base media (5.5 en CVSS v3.1). Los tipos de fallos identificados incluyen escritura fuera de límites, copias de búfer sin validación de tamaño, validación incorrecta de índices de array, desreferenciación de punteros no confiables y manejo inconsistente de parámetros de longitud.

HMS Networks AB, una compañía sueca con despliegue global, ha abordado estos problemas en la versión 5.1.4 y recomienda a los usuarios actualizar sus sistemas a la versión más reciente disponible. La agencia CISA Advisories ha detallado estas vulnerabilidades, las cuales fueron reportadas por Seyeon Bang. Aunque el impacto se limita a sistemas con acceso local, los productos de HMS Networks se utilizan en sectores de infraestructura crítica como sistemas de transporte, sanidad, energía y fabricación. Hasta la fecha, CISA no ha recibido informes de explotación pública de estas vulnerabilidades.