Concentrador de Almacenamiento StoneFly

Ver resumen de CSAF La explotación exitosa de estas vulnerabilidades podría permitir a los atacantes obtener acceso no autorizado amplio, ejecutar comandos arbitrarios con privilegios de root, robar datos sensibles y realizar acciones en nombre de usuarios legítimos en sistemas interconectados. Las siguientes versiones de StoneFly Storage Concentrator están afectadas: Storage Concentrator <8.0.4.22 (CVE-2026-56415, CVE-2026-55721, CVE-2026-50040) Storage Concentrator Máquina Virtual <8.0.4.22 (CVE-2026-56415, CVE-2026-55721, CVE-2026-50040) Storage Concentrator <8.0.4.26 (CVE-2026-50110) Storage Concentrator Máquina Virtual <8.0.4.26 (CVE-2026-50110) Storage Concentrator <8.0.4.29 (CVE-2026-56413) Storage Concentrator Máquina Virtual <8.0.4.29 (CVE-2026-56413) CVSS Vulnerabilidades de Equipos de Proveedor v3 10 StoneFly StoneFly Storage Concentrator Uso de Credenciales Codificadas, Neutralización Incorrecta de Elementos Especiales Utilizados en un Comando del SO ('Inyección de Comando del SO'), Neutralización Incorrecta de Elementos Especiales Utilizados en un Comando SQL ('Inyección SQL'), Neutralización Incorrecta de Entrada Durante la Generación de Páginas Web ('Cross-site Scripting') Antecedentes Sectores de Infraestructura Crítica: Base Industrial de Defensa, Energía, Servicios Financieros, Salud y Salud Pública, Tecnología de la Información Países/Áreas Desplegadas: A nivel mundial Ubicación de la Sede de la Empresa: Estados Unidos Vulnerabilidades Expandir Todo + CVE-2026-50110 Storage Concentrator (SC y SCVM) contiene credenciales codificadas para numerosos servicios internos incrustados dentro de un archivo de configuración. Aunque las credenciales se almacenan en un formato codificado, la codificación se puede revertir a texto plano. Las credenciales expuestas abarcan una amplia gama de servicios internos, incluidos cuentas de bases de datos, licencias, servicios de replicación e integraciones de terceros, lo que significa que la explotación exitosa de esta vulnerabilidad podría proporcionar a un atacante acceso no autorizado a múltiples sistemas interconectados. Ver detalles de CVE Productos Afectados StoneFly Storage Concentrator Proveedor: StoneFly Versión del producto: StoneFly Storage Concentrator: <8.0.4.26, StoneFly Storage Concentrator Máquina Virtual: <8.0.4.26 Estado del producto: conocido_afectado Remediaciones Solución del proveedor StoneFly recomienda que los usuarios actualicen a la versión 8.0.4.29 o posterior de Storage Concentrator para remediar estas vulnerabilidades. Mitigación Para preguntas adicionales o soporte, los usuarios pueden contactar a StoneFly en https://stonefly.com/contact-us/. https://stonefly.com/contact-us/ CWE relevante: CWE-798 Uso de Credenciales Codificadas Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 9.2 CRÍTICO CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:L 4.0 9.3 CRÍTICO CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L CVE-2026-56413 Storage Concentrator (SC y SCVM) contiene una vulnerabilidad de inyección de comandos en el servicio ms_service.pl, que escucha en el puerto TCP 9000 por defecto y acepta paquetes de red personalizados para realizar acciones en el dispositivo. Un atacante remoto no autenticado puede enviar un paquete especialmente elaborado que contenga una carga útil maliciosa que se procesa sin una sanitización adecuada, lo que resulta en la ejecución de comandos arbitrarios con privilegios de nivel root. Ver detalles de CVE Productos Afectados StoneFly Storage Concentrator Proveedor: StoneFly Versión del producto: StoneFly Storage Concentrator: <8.0.4.29, StoneFly Storage Concentrator Máquina Virtual: <8.0.4.29 Estado del producto: conocido_afectado Remediaciones Solución del proveedor StoneFly recomienda que los usuarios actualicen a la versión 8.0.4.29 o posterior de Storage Concentrator para remediar estas vulnerabilidades. Mitigación Para preguntas adicionales o soporte, los usuarios pueden contactar a StoneFly en https://stonefly.com/contact-us/. https://stonefly.com/contact-us/ CWE relevante: CWE-78 Neutralización Incorrecta de Elementos Especiales Utilizados en un Comando del SO ('Inyección de Comando del SO') Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 10 CRÍTICO CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 4.0 10 CRÍTICO CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:L CVE-2026-56415 Storage Concentrator (SC y SCVM) contiene una vulnerabilidad de inyección de comandos dentro del script debug.pl que es accesible sin autenticación. Un atacante remoto puede enviar una solicitud HTTP especialmente elaborada que contenga una carga útil maliciosa que se procesa sin una sanitización adecuada de la entrada, resultando en la ejecución de comandos arbitrarios con privilegios de nivel root en el sistema subyacente. Ver detalles de CVE Productos Afectados StoneFly Storage Concentrator Proveedor: StoneFly Versión del producto: StoneFly Storage Concentrator: <8.0.4.22, StoneFly Storage Concentrator Máquina Virtual: <8.0.4.22 Estado del producto: conocido_afectado Remediaciones Solución del proveedor StoneFly recomienda que los usuarios actualicen a la versión 8.0.4.29 o posterior de Storage Concentrator para remediar estas vulnerabilidades. Mitigación Para preguntas adicionales o soporte, los usuarios pueden contactar a StoneFly en https://stonefly.com/contact-us/. https://stonefly.com/contact-us/ CWE relevante: CWE-78 Neutralización Incorrecta de Elementos Especiales Utilizados en un Comando del SO ('Inyección de Comando del SO') Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 10 CRÍTICO CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H 4.0 10 CRÍTICO CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:L CVE-2026-55721 Storage Concentrator (SC y SCVM) es vulnerable a inyección SQL a través de valores de cookies procesados por los scripts login.pl y debug.pl. El valor de la cookie se incorpora directamente a las consultas de la base de datos sin la sanitización adecuada, lo que permite a un atacante remoto no autenticado manipular esas consultas y extraer información sensible de la base de datos subyacente, incluidos tokens de sesión, hashes de contraseñas y claves secretas almacenadas. Ver detalles de CVE Productos Afectados StoneFly Storage Concentrator Proveedor: StoneFly Versión del producto: StoneFly Storage Concentrator: <8.0.4.22, StoneFly Storage Concentrator Máquina Virtual: <8.0.4.22 Estado del producto: conocido_afectado Remediaciones Solución del proveedor StoneFly recomienda que los usuarios actualicen a la versión 8.0.4.29 o posterior de Storage Concentrator para remediar estas vulnerabilidades. Mitigación Para preguntas adicionales o soporte, los usuarios pueden contactar a StoneFly en https://stonefly.com/contact-us/. https://stonefly.com/contact-us/ CWE relevante: CWE-89 Neutralización Incorrecta de Elementos Especiales Utilizados en un Comando SQL ('Inyección SQL') Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 9.3 CRÍTICO CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N 4.0 9.2 CRÍTICO CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N CVE-2026-50040 Storage Concentrator (SC y SCVM) es vulnerable a scripting entre sitios reflejado (XSS) debido a contenido no sanitizado que se refleja en las páginas de error 404. Un atacante puede crear una URL maliciosa que, al ser visitada por un usuario autenticado, provoca la ejecución de contenido de script arbitrario dentro de la sesión del navegador de la víctima en el contexto de la aplicación. Esto podría usarse para robar cookies de sesión, redirigir usuarios o realizar acciones no autorizadas en nombre de la víctima. Ver detalles de CVE Productos Afectados StoneFly Storage Concentrator Proveedor: StoneFly Versión del producto: StoneFly Storage Concentrator: <8.0.4.22, StoneFly Storage Concentrator Máquina Virtual: <8.0.4.22 Estado del producto: conocido_afectado Remediaciones Solución del proveedor StoneFly recomienda que los usuarios actualicen a la versión 8.0.4.29 o posterior de Storage Concentrator para remediar estas vulnerabilidades. Mitigación Para preguntas adicionales o soporte, los usuarios pueden contactar a StoneFly en https://stonefly.com/contact-us/. https://stonefly.com/contact-us/ CWE relevante: CWE-79 Neutralización Incorrecta de Entrada Durante la Generación de Páginas Web ('Cross-site Scripting') Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 6.1 MEDIA CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 4.0 5.1 MEDIA CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:L/SI:N/SA:N Reconocimientos David Yesland de Rhino Security Labs reportó estas vulnerabilidades a CISA Aviso Legal y Términos de Uso Este producto se proporciona sujeto a esta Notificación y esta política de Privacidad y Uso. Prácticas Recomendadas CISA recomienda a los usuarios tomar medidas de defensa para minimizar el riesgo de explotación de estas vulnerabilidades. Minimizar la exposición de red para todos los dispositivos y/o sistemas del sistema de control, asegurándose de que no sean accesibles desde internet. Localizar redes de sistemas de control y dispositivos remotos detrás de cortafuegos y aislándolos de redes empresariales. Cuando se requiera acceso remoto, utilizar métodos más seguros, como Redes Privadas Virtuales (VPN), reconociendo que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más actual disponible. También reconocer que una VPN es tan segura como los dispositivos conectados. CISA recuerda a las organizaciones realizar un análisis de impacto adecuado y una evaluación de riesgos antes de implementar medidas defensivas. CISA también proporciona una sección sobre prácticas recomendadas de seguridad de sistemas de control en la página web de ICS. Varias publicaciones de CISA detallando las mejores prácticas de defensa cibernética están disponibles para lectura y descarga, incluyendo Mejora de la Ciberseguridad de Sistemas de Control Industrial con Estrategias de Defensa en Profundidad. CISA alienta a las organizaciones a implementar estrategias de ciberseguridad recomendadas para la defensa proactiva de activos de ICS. Orientación adicional de mitigación y prácticas recomendadas están disponibles públicamente en la página web de ICS en el documento técnico, ICS-TIP-12-146-01B--Estrategias de Detección y Mitigación de Intrusiones Cibernéticas Dirigidas. Las organizaciones que observen actividad maliciosa sospechosa deben seguir los procedimientos internos establecidos y reportar hallazgos a CISA para seguimiento y correlación con otros incidentes. CISA también recomienda a los usuarios tomar las siguientes medidas para protegerse de ataques de ingeniería social: No haga clic en enlaces web ni abra archivos adjuntos en mensajes de correo electrónico no solicitados. Consulte Reconociendo y Evitando Estafas por Correo Electrónico para más información sobre cómo evitar estafas por correo electrónico. Consulte Evitando Ataques de Ingeniería Social y Phishing para más información sobre ataques de ingeniería social. No se ha informado a CISA de explotación pública conocida específicamente dirigida a estas vulnerabilidades en este momento. Historial de Revisiones Fecha de Lanzamiento Inicial: 2026-06-30 Resumen de la Revisión de Fecha 2026-06-30 1 Publicación Inicial