El Internet Systems Consortium (ISC) ha emitido un aviso de seguridad crítico alertando a los administradores de redes sobre una vulnerabilidad de alta gravedad que afecta al servidor Kea DHCP. Identificada como CVE-2026-3608, esta falla permite a atacantes remotos no autenticados provocar un desbordamiento de pila (stack overflow). Si se explota con éxito, la vulnerabilidad causa el cierre inesperado del servicio, lo que resulta en una interrupción total y repentina del mismo

El Internet Systems Consortium (ISC) ha publicado un aviso de seguridad crítico advirtiendo a los administradores de red sobre una vulnerabilidad de alta gravedad que afecta al servidor DHCP Kea.

Registrada como CVE-2026-3608, esta falla permite a atacantes remotos no autenticados provocar un desbordamiento de pila (stack overflow).

Si se explota con éxito, la vulnerabilidad hace que el demonio receptor se bloquee, lo que provoca una pérdida repentina y total de los servicios DHCP en toda la red.

Vulnerabilidad en Kea DHCP

La vulnerabilidad existe en la forma en que los demonios de Kea procesan los mensajes entrantes a través de canales de escucha específicos.

Un atacante puede explotar esta debilidad enviando un mensaje maliciosamente elaborado a través de cualquier socket API configurado o un listener de Alta Disponibilidad (HA).

Dado que la carga útil entrante no se maneja correctamente por el software, ocurre un desbordamiento de pila, lo que obliga al servicio a terminar inesperadamente.

Este problema afecta a múltiples componentes centrales de la arquitectura de Kea. El aviso señala explícitamente que los demonios kea-ctrl-agent, kea-dhcp-ddns, kea-dhcp4 y kea-dhcp6 son todos susceptibles a este ataque.

Ali Norouzi de Keysight es reconocido por descubrir y reportar responsablemente el problema al ISC. Con una puntuación CVSS v3.1 de 7.5, CVE-2026-3608 representa una amenaza significativa para la estabilidad de la red.

La vulnerabilidad no requiere interacción del usuario ni privilegios elevados, lo que significa que cualquier actor malintencionado con acceso a la red a los sockets API puede provocar el bloqueo.

La principal consecuencia de este exploit es una condición grave de denegación de servicio (DoS).

Cuando los demonios de Kea se cierran, la red pierde inmediatamente sus capacidades DHCP, lo que puede interrumpir la asignación de direcciones IP, romper la conectividad de nuevos dispositivos y afectar gravemente las operaciones empresariales.

Afortunadamente, el ISC ha declarado que actualmente no tiene conocimiento de exploits activos en la naturaleza.

Mitigaciones y soluciones alternativas

Para resolver permanentemente esta vulnerabilidad, el ISC recomienda encarecidamente a las organizaciones actualizar de inmediato sus implementaciones de Kea a las últimas versiones parcheadas.

Los administradores que utilicen la rama 2.6 deben actualizar a Kea 2.6.5, mientras que aquellos en la rama 3.0 deben actualizar a Kea 3.0.3 para proteger sus entornos contra posibles ataques de denegación de servicio.

Para los administradores de red que no puedan parchear sus sistemas de inmediato, el ISC ha proporcionado una solución temporal efectiva.

Las organizaciones pueden bloquear la ruta de explotación asegurando sus sockets API con Seguridad de la Capa de Transporte (TLS) y aplicando una autenticación mutua estricta.

Al configurar el servidor para requerir un certificado de cliente válido, los administradores garantizan que un atacante no pueda establecer la conexión API inicial necesaria para entregar la carga maliciosa.