Altice Labs GR141DG (FiberGateway): acceso root sin autenticación mediante enlaces simbólicos en Samba

Resumen#

El router y ONT GPON Altice Labs GR141DG (FiberGateway), distribuido en Portugal por MEO, incluye un servidor de ficheros Samba antiguo y sin parchear (versión 3.0.37). Cuando se conecta un dispositivo de almacenamiento USB al router, este publica en la red local un recurso compartido SMB al que se puede acceder sin autenticación y que admite escritura. Offensive Pulse estima que más de 1,5 millones de dispositivos funcionan con un firmware afectado.

Esta versión de Samba está afectada por CVE-2010-0926, un problema de recorrido de enlaces simbólicos derivado de su configuración por defecto. Como el servicio Samba del router se ejecuta con privilegios de root, cualquier cliente de la red local puede utilizar el recurso compartido para obtener acceso de lectura y escritura, como root, a todo el sistema de ficheros del equipo. Con ese acceso, un atacante puede colocar un script en un directorio de tareas programadas que el sistema ejecuta como root, lo que le permite ejecutar código de forma persistente con privilegios completos.

Offensive Pulse también ha comprobado que el gestor de arranque del dispositivo no verifica la firma del firmware.

La vulnerabilidad se comunicó el 25 de marzo de 2026 mediante un proceso de divulgación coordinada con la mediación del Centro Nacional de Ciberseguridad de Portugal (CNCS / CERT.PT). Desde entonces, el fabricante ha publicado firmware corregido: están afectadas todas las versiones hasta la 3GN8020900r29 incluida.

Productos afectados#

• Fabricante: Altice Labs
• Producto: GR141DG (FiberGateway), router y ONT GPON
• Firmware: versiones hasta la 3GN8020900r29 incluida
• Plataforma: Linux, ARM, RDK-B
• Componente vulnerable: Samba 3.0.37
• Exposición estimada: más de 1,5 millones de dispositivos (estimación de Offensive Pulse)

Es posible que otros modelos de ONT GPON que comparten la misma base de firmware también estén afectados. Offensive Pulse no lo ha verificado.

Detalles técnicos#

La vulnerabilidad surge de la combinación de varias condiciones presentes a la vez en el equipo:

1. Samba obsoleto expuesto en la red local. El firmware incluye Samba 3.0.37, una versión anterior a la corrección de CVE-2010-0926 (Samba 3.3.11, 3.4.6 y 3.5.0rc3).
2. Recurso compartido con acceso de invitado y escritura. Al conectar un almacenamiento USB, el router lo publica como recurso compartido en la red local. El recurso admite acceso de invitado, por lo que no hacen falta credenciales, y permite escribir.
3. Opciones wide links y extensiones UNIX activadas. En las versiones de Samba afectadas por CVE-2010-0926, la configuración por defecto combina las opciones wide links y unix extensions. Cuando existe un recurso compartido con permiso de escritura, esto permite que un cliente cree enlaces simbólicos que apunten fuera del directorio compartido, a cualquier ruta del sistema de ficheros del servidor, y que el servidor los siga cuando el cliente accede a ellos. Es el comportamiento descrito en CVE-2010-0926.
4. Samba ejecutándose como root. En el GR141DG el servicio Samba se ejecuta con el usuario root. En una instalación de Samba habitual, el alcance de CVE-2010-0926 se limita a los ficheros a los que ya puede acceder el usuario conectado. Aquí, en cambio, todas las operaciones sobre ficheros que se realizan a través del recurso compartido se ejecutan con privilegios de root.

En conjunto, estas condiciones permiten que un cliente sin autenticar de la red local lea y modifique cualquier fichero del equipo, no solo el contenido del almacenamiento USB.

El equipo ejecuta tareas programadas como root desde una ubicación en almacenamiento persistente y con permisos de escritura. Como el recurso compartido concede acceso de escritura como root a esa ubicación, un atacante puede añadir una tarea que el sistema ejecutará con privilegios completos. El resultado es la ejecución persistente de código como root en el router.

Este aviso describe la vulnerabilidad de forma conceptual a propósito. Los detalles de explotación solo se han compartido a través del proceso de divulgación coordinada con la mediación del CNCS / CERT.PT.

Verificación de la firma del firmware#

Offensive Pulse también ha comprobado que el gestor de arranque del dispositivo no verifica la firma del firmware que carga. Este aviso no publica más detalles sobre este punto.

La verificación de la firma del firmware durante el arranque es el control que impide que un dispositivo ejecute firmware no autorizado por el fabricante. Sin ella, el dispositivo no dispone de ningún control durante el arranque que impida ejecutar firmware modificado, lo que facilita una manipulación persistente una vez que el atacante tiene acceso root.

Requisitos del ataque#

• Posición en la red: acceso a la red local (LAN) del router.
• Almacenamiento USB: debe haber un dispositivo de almacenamiento USB conectado y montado en el router, ya que el recurso compartido vulnerable solo está disponible mientras haya uno conectado. Es lo habitual cuando el propietario usa el puerto USB del router como almacenamiento en red. En ese caso el atacante no necesita acceso físico al router: le basta con estar en la red local. Si no hay ningún USB conectado, el atacante necesitaría acceso físico para conectar uno.
• Autenticación: ninguna. El recurso compartido admite acceso de invitado.
• Interacción del usuario: ninguna.

Offensive Pulse puntúa la vulnerabilidad con 9.0 (crítica) según CVSS v4.0, con el vector CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H. El ataque se realiza desde la red local (AV:A) y requiere que haya almacenamiento USB conectado al router (AT:P).

Impacto#

Una explotación con éxito supone el compromiso total del router:

• Confidencialidad: lectura de todo el sistema de ficheros del equipo como root, incluida la configuración del sistema y cualquier secreto almacenado en el dispositivo.
• Integridad: escritura en todo el sistema de ficheros como root, incluidos los ficheros del sistema y las tareas programadas.
• Disponibilidad: un atacante con acceso root puede alterar o desactivar cualquier función del equipo.
• Persistencia: el código añadido a las tareas programadas se ejecuta como root de forma recurrente, lo que da ejecución persistente de código como root.
• Resto de equipos de la red: el router es la pasarela de la red doméstica. Con acceso root, el atacante controla el tráfico de todos los equipos que hay detrás y puede interceptarlo o manipularlo, por ejemplo cambiando los servidores DNS que reparte el router.

Por eso el impacto en los sistemas subsiguientes se califica como alto (SC/SI/SA:H), lo que da una puntuación base CVSS v4.0 de 9.0, crítica.

Mitigación#

El fabricante ha publicado firmware que corrige la vulnerabilidad. Están afectadas todas las versiones hasta la 3GN8020900r29 incluida, así que la principal medida es usar una versión posterior.

Para usuarios#

• Comprobar la versión de firmware en la interfaz de administración del router y asegurarse de que es posterior a la 3GN8020900r29. Si no lo es, contactar con el operador.
• Desconectar el almacenamiento USB del router cuando no se necesite.
• Desactivar la compartición de ficheros en el router si su configuración lo permite.
• Limitar el acceso a la red local a dispositivos de confianza y, cuando sea posible, usar una red separada para dispositivos invitados o no fiables.
• Seguir instalando las actualizaciones de firmware del fabricante o del operador.

Para el fabricante#

• Actualizar Samba a una versión con soporte, o eliminar el servicio de compartición de ficheros si no es necesario.
• Establecer wide links = no y desactivar unix extensions en los recursos compartidos expuestos a clientes.
• Exigir autenticación para acceder al almacenamiento compartido y desactivar el acceso de invitado por defecto.
• Ejecutar el servicio de compartición de ficheros sin privilegios de root y asegurarse de que las ubicaciones del sistema y de las tareas programadas no sean accesibles desde ningún recurso compartido.
• Exigir la verificación criptográfica de la firma del firmware e implantar una cadena de arranque seguro.

Cronología de la divulgación#

días desde el descubrimiento hasta el informe completo

17días

días de divulgación coordinada con el CNCS / CERT.PT

226días

días desde el descubrimiento hasta la publicación

242días

abrmayjunjulagosepoctnov

Divulgación coordinada · 226 días01020304050607

1. 019 mar 2026día 0
   DescubrimientoAcceso root confirmado en el equipo de pruebas del propio investigador
2. 0225 mar 2026+16 d
   Aviso al CERT.PTPrimer contacto con el CNCS / CERT.PT
3. 0326 mar 2026+1 d
   Informe entregadoInforme técnico completo enviado al CNCS
4. 0411 jun 2026+77 d
   Solicitud de CVESolicitud del identificador CVE
5. 05jul 2026~+34 d
   Plazo ampliadoEl CERT.PT concede al fabricante más tiempo para corregir; despliegue previsto a inicios del 4.º trimestre de 2026
6. 06~oct 2026~+92 d
   Despliegue del parcheDespliegue del firmware corregido a todos los equipos, previsto por el fabricante para inicios del 4.º trimestre de 2026
7. 076 nov 2026~+22 d
   Aviso publicadoPublicación de este aviso

En julio de 2026, el CERT.PT informó a Offensive Pulse de que el fabricante había pedido más tiempo para corregir las vulnerabilidades, porque la corrección era técnicamente más compleja de lo previsto. El CERT.PT concedió la ampliación del plazo conforme al punto 2 del artículo 8 de la Instrucción Técnica 01/2026 del CNCS, con la corrección y su despliegue a todos los equipos previstos para el inicio del cuarto trimestre de 2026. El fabricante no se opuso a la publicación una vez corregidas las vulnerabilidades. En consecuencia, este aviso omite cualquier detalle que pueda poner en riesgo la infraestructura del operador.

Créditos#

Descubierta y comunicada por Andrei Coman, de Offensive Pulse.

Referencias#

• Registro CVE de esta vulnerabilidad: identificador pendiente de asignación (CVE-PENDING). Este aviso se actualizará cuando se publique el identificador.
• CVE-2010-0926 en cve.org
• CWE-59: Improper Link Resolution Before File Access ('Link Following')