Se ha detectado una cadena de vulnerabilidades críticas en el software UniFi OS Server que pone en grave riesgo a miles de organizaciones. Investigadores confirmaron que un atacante puede obtener acceso total de root a los dispositivos afectados sin necesidad de credenciales, permitiendo que una sola solicitud no autenticada resulte en la toma completa del sistema.

Una cadena de vulnerabilidades críticas en el software UniFi OS Server ha puesto a miles de organizaciones en grave riesgo. Los investigadores confirmaron que un atacante puede obtener acceso total de root a los dispositivos afectados sin una sola credencial, convirtiendo una única solicitud no autenticada en la toma completa del sistema.

UniFi OS Server es la plataforma de gestión para la familia de aplicaciones UniFi, que incluye Network, Protect y los servicios de identidad y actualización que se suministran con ella.

Funciona como una colección de servicios de backend detrás de un único front-end Nginx que finaliza TLS, autentica las solicitudes y las redirige a los servicios internos correspondientes. Esa función de proxy es el centro del modelo de seguridad, y es exactamente donde comienza esta cadena de ataque.

Los investigadores de seguridad de BishopFox identificaron y confirmaron la cadena de ataque completa de extremo a extremo, validando que una sola solicitud a un servidor UniFi OS accesible se convierte en una shell inversa con privilegios totales de root.

BishopFox afirmó en un informe compartido con Cyber Security News (CSN) que la gravedad proviene de lo que controla el dispositivo: es el plano de gestión de la red en la que se ejecuta.

El acceso de root expone cada secreto almacenado, permite que un atacante falsifique sesiones de administrador que sobreviven al parcheo y, en despliegues físicos, puede comprometer los controles de puertas y las cámaras de seguridad.

El 13 de mayo de 2025, Ubiquiti publicó el Boletín de Aviso de Seguridad SAB-013 que cubre cinco vulnerabilidades en la familia de dispositivos UniFi OS que se encadenan en una ejecución remota de código (RCE) no autenticada.

Las tres más importantes son un fallo de control de acceso inadecuado y un fallo de salto de directorio (path traversal) en la pasarela de autenticación, ambos calificados como Críticos CVSS 10.0, y un fallo de validación de entrada inadecuada en el servicio de actualización de paquetes, también Crítico CVSS 10.0.

La única condición previa para la explotación es tener acceso a la interfaz de administración, que normalmente escucha en el puerto TCP 443. Esto hace que la cadena sea accesible en cualquier lugar donde el panel de gestión web sea alcanzable.

Cadena RCE Crítica de UniFi OS Server

El ataque tiene tres partes. La primera parte evade la pasarela de autenticación. Nginx impone la autenticación con una subsolicitud auth_request al servicio de nodo unifi-core, que decide si una solicitud es pública o debe ser autenticada.

La causa raíz es una divergencia entre dos vistas de la misma URI: la comprobación de exención pública se ejecuta sobre el encabezado x-original-uri codificado en porcentaje bruto, pero Nginx enruta la solicitud utilizando la URI normalizada y decodificada.

Una solicitud manipulada cuya forma bruta comienza con el prefijo exento de autenticación /api/auth/validate-sso/, mientras que su forma normalizada se resuelve en una ruta interna /proxy/, pasa la pasarela sin ninguna credencial.

La segunda parte llega al sumidero de inyección de comandos. Detrás de la pasarela se encuentra una ruta de actualización de paquetes en el backend compartido de identidad y actualización.

El manejador construye una cadena de comandos utilizando fmt.Sprintf contra un formato como sudo /usr/bin/ uos runnable latest-versions % v, donde % v es el nombre del paquete suministrado por el llamador interpolado textualmente.

En la versión 3.1.16 no hay validación de ese nombre, y la cadena se pasa a un asistente que la ejecuta a través de un envoltorio de shell sh -c. Los metacaracteres de shell en la entrada se interpretan en lugar de tratarse como datos, lo que permite la inyección de comandos arbitrarios.

La tercera parte escala a root. El comando inyectado se ejecuta como la cuenta de servicio ucs-update, no directamente como root. Esa cuenta posee permisos de sudo sin contraseña en /usr/bin/ dpkg, /bin/ chmod, /bin/ systemctl y /usr/bin/ uos.

BishopFox utilizó la ruta de dpkg en un objetivo real, instalando un archivo .deb cuyo script de post-instalación leyó /etc/shadow, confirmando la ejecución completa de root.

Parchea ahora y rota las credenciales después

Ubiquiti corrigió las tres partes en UniFi OS Server 3.2.12. Una protección de normalización de URI de Nginx cierra la evasión de la pasarela. El backend de actualización de paquetes obtiene una lista blanca de nombres de paquetes y una comprobación de validación para evitar la inyección.

La entrada de sudoers de ucs-update elimina /usr/bin/dpkg y /bin/ chmod de su lista sin contraseña, reduciendo la superficie de escalada de privilegios.

Debes parchear a UniFi OS Server 3.2.12 o posterior inmediatamente, luego rotar la clave de firma JWT, forzar el cierre de sesión de todas las sesiones y restablecer las credenciales de la base de datos.

La cadena alcanza el root sin credenciales y sin interacción del usuario, por lo que no hay rastro de inicios de sesión fallidos en los registros. Restringe el acceso externo a la interfaz web y limítalo a una red de gestión para que las solicitudes no autenticadas desde Internet no puedan llegar a la pasarela.