Alertan de vulnerabilidades críticas en la ECU de frenos Bendix EC80

La Unidad de Control Electrónica (ECU) de frenos Bendix EC80, un sistema esencial en el sector del transporte, presenta vulnerabilidades que podrían tener un impacto significativo en la seguridad y la operativa de los vehículos. CISA ha identificado tres CVEs (Common Vulnerabilities and Exposures) que afectan a diversas versiones del firmware de esta ECU, desplegada principalmente en Estados Unidos y Canadá.

Naturaleza de las vulnerabilidades

Las vulnerabilidades se categorizan en tres tipos principales, cada una con distintos niveles de riesgo:

• Desbordamiento de búfer basado en pila (CVE-2026-67560): Este fallo, calificado con una severidad alta (CVSS v3.1 de 7.5 y v4.0 de 7.7), podría permitir que un atacante, mediante una carga útil maliciosa, provoque el colapso de la ECU. Potencialmente, esto podría derivar en la ejecución remota de código arbitrario o la inyección de tráfico malicioso en el bus CAN del vehículo. Las consecuencias directas incluyen la pérdida de la función del sistema de frenos antibloqueo (ABS), la asistencia a la dirección, el velocímetro y la capacidad de cambio de marchas.

• Escritura fuera de límites (CVE-2026-68967): Con una severidad media/alta (CVSS v3.1 de 6.5 y v4.0 de 7.1), esta vulnerabilidad permite que un atacante envíe una carga útil que podría establecer una primitiva de escritura arbitraria, lo que a su vez podría causar el fallo de la ECU.

• Uso de credenciales codificadas (CVE-2026-71396): Calificada con una severidad media (CVSS v3.1 de 5.4 y v4.0 de 5.3), esta debilidad reside en el uso de credenciales predefinidas y no seguras, lo que podría permitir a un atacante deshabilitar el control automático de tracción.

Todas estas vulnerabilidades afectan a múltiples versiones del firmware de la ECU Bendix EC80, incluyendo variantes como EC80ESP+ J1708, EC80ESP+ 6S/6M, EC80ESP PLC, EC80ESP 2nd CAN, EC80ESP Integrated TPMS, EC80ESP 4S/4M, y EC80ESP CAN Gateway, entre otras.

Mitigación y recomendaciones

Bendix, el fabricante, recomienda a los usuarios actualizar el firmware de sus unidades a las versiones más recientes para corregir estas vulnerabilidades. Se han proporcionado actualizaciones específicas para cada versión afectada.

Además de las soluciones del fabricante, CISA subraya la importancia de implementar prácticas generales de ciberseguridad para sistemas de control industrial (ICS). Estas incluyen minimizar la exposición de los dispositivos ICS en redes, asegurándose de que no sean accesibles desde internet, y situar las redes de control y dispositivos remotos detrás de firewalls, aislándolos de las redes empresariales. Para el acceso remoto, se recomienda el uso de redes privadas virtuales (VPN), con la advertencia de mantener estas VPNs actualizadas y reconocer que su seguridad depende de la de los dispositivos conectados.

CISA también aconseja realizar un análisis de impacto y una evaluación de riesgos adecuados antes de implementar medidas defensivas y seguir las mejores prácticas en ciberseguridad para la defensa proactiva de activos ICS. Hasta la fecha, no se ha reportado ninguna explotación pública conocida de estas vulnerabilidades a CISA.