VULNERABILIDAD
CVE-2026-111710 Desreferencia de puntero nulo en el servidor web Boa de Netcore NR256CN
Netcore NR256CN hasta la versión 1.5.140116 contiene una vulnerabilidad de desreferencia de puntero nulo en la función user_auth() del servidor web Boa que permite a atacantes no autenticados provocar la caída del servidor mediante un header Authorization malformado. Los atacantes pueden enviar un valor Basic Authorization sin dos puntos, como uno que decodifique a un solo carácter, a rutas protegidas como /router/get_user_type.cgi para terminar el proceso principal de Boa y denegar el acceso a la interfaz de…
Alerta de Nureq Monitor
Detectada 16 OCT · 15:14
CVSS 3.1
7.5ALTACVSS 4.0
8.7 ALTA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,3 % PERCENTIL 21
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-111710
Netcore NR256CN hasta la versión 1.5.140116 contiene una vulnerabilidad de desreferencia de puntero nulo en la función user_auth() del servidor web Boa que permite a atacantes no autenticados provocar la caída del servidor mediante un header Authorization malformado. Los atacantes pueden enviar un valor Basic Authorization sin dos puntos, como uno que decodifique a un solo carácter, a rutas protegidas como /router/get_user_type.cgi para terminar el proceso principal de Boa y denegar el acceso a la interfaz de…
Productos y versiones afectadas
Netcore NR256CN
Qué hacer
- Verificá si usás NR256CN y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Ninguna
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Alta
CVSS 4.0 · 8.7 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Ninguno
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Ninguna
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Ninguna
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Alta
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
Netcore NR256CN through 1.5.140116 contains a NULL pointer dereference vulnerability in the Boa web server's user_auth() function that allows unauthenticated attackers to crash the server via a malformed Authorization header. Attackers can send a Basic Authorization value lacking a colon, such as one decoding to a single character, to protected routes like /router/get_user_type.cgi to kill the main Boa process and deny management interface access.
Referencias
- github.com/lukadqq/netcore-router-public-refs/blob/a44d562736b41c944223297e9144d2ad7fa2af…THIRD-PARTY-ADVISORY
- www.vulncheck.com/advisories/netcore-nr256cn-through-1.5.140116-boa-web-server-null-point…THIRD-PARTY-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.