Vulnerabilidades críticas y de alta severidad afectan a los codificadores Kiloview E3 NDI

La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) ha emitido una alerta sobre múltiples vulnerabilidades que comprometen la seguridad de los codificadores Kiloview E3 NDI, dispositivos de amplio despliegue global en sectores como Comunicaciones y Tecnologías de la Información. La empresa Kiloview, con sede en China, fabrica estos codificadores que están expuestos a una serie de fallos de seguridad en sus versiones de firmware anteriores a la 1.30.

Según el aviso ICS Advisory ICSA-26-295-01 de CISA, se han documentado nueve CVEs, con una severidad que varía desde media hasta CRÍTICA según las clasificaciones CVSS v3.1. Tres de estas vulnerabilidades, CVE-2026-109122, CVE-2026-107861 y CVE-2026-110243, han sido designadas como CRÍTICAS con puntuaciones CVSS de 9.1 o 9.9. Estas se relacionan con la inyección de comandos del sistema operativo (CWE-78) a través de los servicios de gestión de red y control del sistema. Su explotación podría permitir a un atacante autenticado ejecutar comandos arbitrarios como usuario root, obtener acceso completo al dispositivo y exponer credenciales almacenadas o material criptográfico. En el caso de CVE-2026-109122, las configuraciones maliciosas persisten incluso después de un reinicio.

Adicionalmente, se han identificado vulnerabilidades de alta severidad, como CVE-2026-92450 y CVE-2026-110825, ambas con puntuaciones CVSS v3.1 de 7.5. La primera (CVE-2026-92450) es un fallo de credenciales codificadas (CWE-798) que permite a un atacante forjar tokens de sesión administrativos sin autenticación válida al recuperar un secreto HMAC-SHA256 codificado en el firmware. La segunda (CVE-2026-110825) es una falta de autenticación para funciones críticas (CWE-306) en el servicio ONVIF, lo que posibilita a un atacante no autenticado modificar la configuración de hostname, DNS o NTP, facilitando ataques de intercepción de tráfico o bypass de validación de certificados.

Otros fallos incluyen la expiración insuficiente de sesión (CVE-2026-96616), que otorga tokens de autenticación casi permanentes, y la omisión de autenticación para la recuperación de identificadores de dispositivo y cuentas de usuario (CVE-2026-111100). Una vulnerabilidad de desreferencia de puntero nulo (CVE-2026-110491) permite a un atacante no autenticado dejar el servicio ONVIF inoperativo temporalmente.

Kiloview ha recomendado a los usuarios afectados actualizar sus dispositivos a la versión de firmware V1.30 para mitigar estos riesgos. CISA, por su parte, aconseja medidas defensivas estándar, como minimizar la exposición de red de los sistemas de control y utilizar VPNs para el acceso remoto. Hasta el momento, CISA no tiene conocimiento de explotación pública de estas vulnerabilidades.