CVE-2026-63442 Falsificación de registros en OPNsense mediante CRLF en el usuario de login del WebGUI

Qué es CVE-2026-63442

Antes de 26.1.11, el campo usernamefld del login WebGUI no autenticado acepta retorno de carro y salto de línea que sobreviven al procesamiento LOG_AUTH y llegan al destino de programa de syslog-ng que alimenta lockout_handler. El readline() del consumidor trata el fragmento inyectado como un evento de autenticación separado y toma la primera IP válida de la línea falsificada: un atacante con acceso de red a la página de login puede falsificar fallos para otra IP y agregarla a la tabla PF sshlockout, o falsificar…

Productos y versiones afectadas

• opnsense core

  • < 26.1.11

Qué hacer

1. Verificá si usás core y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 8.1 ALTA

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

VECTOR DE ATAQUE (AV)

Red adyacente

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

OPNsense is a FreeBSD based firewall and routing platform. Prior to version 26.1.11, the unauthenticated WebGUI login usernamefld accepts carriage-return and line-feed characters that survive LOG_AUTH processing through syslog-ng-lockout.conf into the syslog-ng program destination feeding lockout_handler. The consumer's readline() processing treats an injected fragment as a separate authentication event and selects the first syntactically valid IP address from the forged line. An attacker with network access to the login page can forge failure events for another IP, causing that IP to be added to the sshlockout PF table and its active states to be killed, or forge accepted events that reset an attacker's own brute-force counter. This can block administrative, DNS, gateway, or monitoring addresses and can bypass password-guessing lockout without authentication. This issue is fixed in version 26.1.11.

Referencias

• github.com/opnsense/core/security/advisories/GHSA-2v2x-m4j7-76pvX_REFSOURCE_CONFIRM
• github.com/opnsense/core/commit/8bdaad95f405f4587bb83bf35aa652ca493cc2a4X_REFSOURCE_MISC
• github.com/opnsense/core/commit/c930ab586ffe2d2e010e5135657e5e054316ff58X_REFSOURCE_MISC

Historial de la alerta

1. 15 OCT · 13:17VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.