Se han identificado dos vulnerabilidades críticas en el motor de detección Snort 3 de Cisco, lo que representa riesgos significativos para la infraestructura de seguridad de red en múltiples productos de la compañía. Estas debilidades surgen de un manejo inadecuado de las solicitudes del entorno de computación distribuida y llamadas a procedimientos remotos (DCE/RPC), lo que permite a atacantes remotos interrumpir los servicios de inspección de paquetes o extraer información sensible del sistema. 

Se han identificado dos vulnerabilidades críticas en el motor de detección Snort 3 de Cisco, lo que representa riesgos significativos para la infraestructura de seguridad de redes en múltiples productos de la compañía.

Estas debilidades surgen de un manejo inadecuado de las solicitudes del entorno de computación distribuida y llamadas a procedimiento remoto (DCE/RPC), lo que permite a atacantes remotos interrumpir los servicios de inspección de paquetes o extraer información sensible del sistema.

Las vulnerabilidades afectan al software Cisco Secure Firewall Threat Defense, Snort 3 de código abierto, el software Cisco IOS XE con capacidades de Unified Threat Defense y varios dispositivos Cisco Meraki.

Las organizaciones que ejecutan Snort 3 en nuevas instalaciones de las versiones 7.0.0 y posteriores de Cisco Secure FTD son particularmente vulnerables, ya que Snort 3 opera por defecto en estas versiones.

La superficie de ataque sigue siendo amplia, dada la implementación generalizada de Snort 3 en redes empresariales de todo el mundo.

Los atacantes pueden explotar estas vulnerabilidades sin necesidad de autenticación, lo que las hace especialmente peligrosas para sistemas expuestos a Internet.

Para explotar estas fallas, es necesario enviar solicitudes DCE/RPC especialmente diseñadas a través de conexiones de red establecidas que Snort 3 esté monitoreando.

Los analistas de Cisco identificaron estos fallos mientras examinaban los mecanismos de manejo de búferes del motor de detección. La primera vulnerabilidad, CVE-2026-20026, implica una condición de uso después de liberar en el procesamiento de búferes que puede provocar reinicios inesperados del motor y condiciones de denegación de servicio.

La segunda vulnerabilidad, CVE-2026-20027, resulta de un fallo de lectura fuera de límites que permite a los atacantes extraer datos sensibles que fluyen a través del motor de inspección.

Comprender el mecanismo técnico

El problema central se origina en una validación insuficiente de la lógica de análisis del protocolo DCE/RPC dentro del motor de detección de Snort 3. Cuando el sistema procesa un gran número de solicitudes DCE/RPC, la lógica de manejo de búferes no gestiona adecuadamente los límites de memoria.

Esto crea condiciones en las que el motor hace referencia a memoria que ya ha liberado o lee más allá de los límites del búfer asignado.

Un atacante que explote este mecanismo envía numerosas solicitudes DCE/RPC a través de una conexión establecida, provocando deliberadamente el mal manejo del búfer.

El motor responde filtrando datos sensibles de regiones de memoria adyacentes o colapsando por completo, interrumpiendo todas las operaciones de inspección de paquetes.

Cisco ha lanzado versiones corregidas, incluyendo Snort 3.9.6.0 y varios parches para el software Secure FTD. Las organizaciones deben priorizar las actualizaciones de inmediato para restaurar la protección completa contra estas amenazas a nivel de red.