Terminales iQ-Series de ST Engineering iDirect

Ver Resumen CSAF La explotación exitosa de estas vulnerabilidades podría permitir a un atacante obtener acceso no autorizado a la información del dispositivo o causar una condición de denegación de servicio. Las siguientes versiones de los Terminales iQ-Series de ST Engineering iDirect se ven afectadas: terminales Evolution iQ-Series <=4.5.2.1 (CVE-2026-38059, CVE-2026-38057) terminales 3315-Series <=4.5.2.1 (CVE-2026-38059, CVE-2026-38057) terminales 9-Series <=4.5.2.1 (CVE-2026-38059, CVE-2026-38057) CVSS Vulnerabilidades del equipo del proveedor v3 8.1 ST Engineering iDirect Terminales iQ-Series de ST Engineering iDirect Falta de autenticación para funciones críticas, Cross-Site Request Forgery (CSRF) Antecedentes Sectores de Infraestructura Crítica: Comunicaciones, Base Industrial de Defensa, Energía, Servicios y Instalaciones Gubernamentales, Sistemas de Transporte Países/Zonas Desplegadas: Mundial Ubicación de la sede de la empresa: Estados Unidos Vulnerabilidades Expandir Todo + CVE-2026-38059 El iDirect iQ200 expone los puntos finales de la API REST /api/identity y /api/ sin autenticación. Un atacante no autenticado con acceso a la red puede recuperar información sensible del dispositivo, incluyendo el número de serie, ID del dispositivo (DID), identificador de clave privada del terminal (TPK), dirección MAC y la versión exacta del firmware. El DID y TPK se utilizan para la autenticación de la red satelital en la plataforma iDirect, lo que puede permitir la suplantación del terminal y la recopilación de información de la red. Ver detalles de CVE Productos Afectados Terminales iQ-Series de ST Engineering iDirect Proveedor: ST Engineering iDirect Versión del producto: terminales Evolution iQ-Series de ST Engineering iDirect: <=4.5.2.1, terminales 3315-Series de ST Engineering iDirect: <=4.5.2.1, terminales 9-Series de ST Engineering iDirect: <=4.5.2.1 Estado del producto: conocido_afectado Remedios Mitigación ST Engineering iDirect ha corregido las vulnerabilidades y recomienda a los usuarios actualizar el software a la versión 4.5.2.2 o más reciente. Mitigación Los usuarios registrados pueden descargar parches desde el Portal de Soporte de iDirect https://support.idirect.net/s/login. https://support.idirect.net/s/login Mitigación Restringir las interfaces de gestión a redes de confianza (por ejemplo, VPN, ACLs). Mitigación Evitar exponer APIs administrativas a Internet público. Mitigación Hacer cumplir prácticas de autenticación sólidas. Mitigación Monitorear actividades anómalas de API y reinicios inesperados del dispositivo. CWE relevante: CWE-306 Falta de autenticación para funciones críticas Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 7.5 ALTA CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 4.0 8.7 ALTA CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N CVE-2026-38057 El iDirect iQ200 no valida los tokens CSRF en los puntos finales de la API que cambian el estado después de la autenticación. El punto final /api/reboot acepta solicitudes POST autenticadas únicamente por una cookie de sesión que carece del atributo SameSite. Un atacante remoto puede alojar una página web maliciosa que, al ser visitada por un administrador autenticado, envía automáticamente una solicitud POST cruzada, causando un reinicio inmediato del dispositivo y pérdida de enlace satelital. Ataques repetidos pueden mantener una condición de denegación de servicio. Ver detalles de CVE Productos Afectados Terminales iQ-Series de ST Engineering iDirect Proveedor: ST Engineering iDirect Versión del producto: terminales Evolution iQ-Series de ST Engineering iDirect: <=4.5.2.1, terminales 3315-Series de ST Engineering iDirect: <=4.5.2.1, terminales 9-Series de ST Engineering iDirect: <=4.5.2.1 Estado del producto: conocido_afectado Remedios Mitigación ST Engineering iDirect ha corregido las vulnerabilidades y recomienda a los usuarios actualizar el software a la versión 4.5.2.2 o más reciente. Mitigación Los usuarios registrados pueden descargar parches desde el Portal de Soporte de iDirect https://support.idirect.net/s/login. https://support.idirect.net/s/login Mitigación Restringir las interfaces de gestión a redes de confianza (por ejemplo, VPN, ACLs). Mitigación Evitar exponer APIs administrativas a Internet público. Mitigación Hacer cumplir prácticas de autenticación sólidas. Mitigación Monitorear actividades anómalas de API y reinicios inesperados del dispositivo. CWE relevante: CWE-352 Cross-Site Request Forgery (CSRF) Métricas CVSS Versión Puntuación Base Severidad Base Vector String 3.1 8.1 ALTA CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H 4.0 7 ALTA CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N Reconocimientos Ahmed Alqahtani de Aramco reportó estas vulnerabilidades a CISA Aviso Legal y Términos de Uso Este producto se proporciona sujeto a esta Notificación (https://www.cisa.gov/notification) y esta política de Privacidad y Uso (https://www.cisa.gov/privacy-policy). Prácticas Recomendadas CISA recomienda a los usuarios tomar medidas defensivas para minimizar el riesgo de explotación de estas vulnerabilidades. Minimizar la exposición de red para todos los dispositivos y/o sistemas de control, asegurando que no sean accesibles desde Internet. Ubicar las redes de sistemas de control y los dispositivos remotos detrás de cortafuegos y aislarlos de las redes empresariales. Cuando se requiera acceso remoto, utilizar métodos más seguros, como VPN (Redes Privadas Virtuales), reconociendo que las VPN pueden tener vulnerabilidades y deben actualizarse a la versión más actual disponible. También reconocer que una VPN es tan segura como los dispositivos conectados. CISA recuerda a las organizaciones realizar un adecuado análisis de impacto y evaluación de riesgos antes de implementar medidas defensivas. CISA también proporciona una sección para las prácticas recomendadas de seguridad de sistemas de control en la página web de ICS en cisa.gov/ics. Varios productos de CISA que detallan las mejores prácticas de defensa cibernética están disponibles para lectura y descarga, incluyendo la mejora de la ciberseguridad de los sistemas de control industrial con estrategias de defensa en profundidad. CISA anima a las organizaciones a implementar estrategias de ciberseguridad recomendadas para la defensa proactiva de los activos de ICS. Orientación adicional de mitigación y prácticas recomendadas están disponibles públicamente en la página web de ICS en cisa.gov/ics en el documento de información técnica, ICS-TIP-12-146-01B--Estrategias de Detección y Mitigación de Intrusiones Cibernéticas Dirigidas. Las organizaciones que observen actividades maliciosas sospechosas deben seguir los procedimientos internos establecidos y reportar los hallazgos a CISA para su seguimiento y correlación con otros incidentes. CISA también recomienda a los usuarios tomar las siguientes medidas para protegerse de ataques de ingeniería social: No hacer clic en enlaces web ni abrir archivos adjuntos en mensajes de correo electrónico no solicitados. Consultar Reconociendo y Evitando Estafas por Correo Electrónico para obtener más información sobre cómo evitar estafas por correo electrónico. Consultar Evitando Ataques de Ingeniería Social y Phishing para obtener más información sobre ataques de ingeniería social. No se ha reportado hasta ahora a CISA ninguna explotación pública conocida que apunte específicamente a estas vulnerabilidades. Historial de Revisiones Fecha de Publicación Inicial: 2026-07-02 Resumen de Revisión Fecha 2026-07-02 1 Publicación Inicial