SonicWall ha revelado dos vulnerabilidades de seguridad en su cliente de Linux NetExtender. La más grave, identificada como CVE-2026-66152, es un fallo crítico de salto de directorio (path traversal) que permitiría a un atacante escribir archivos arbitrarios con privilegios de root. Estos problemas afectan a las versiones 10.3.5 y anteriores, por lo que se recomienda actualizar a la versión 10.3.6 o posterior para solucionar el problema.

SonicWall ha revelado dos vulnerabilidades de seguridad en su cliente de Linux NetExtender, incluyendo un fallo crítico de salto de directorio (path traversal) que podría permitir a un atacante escribir archivos arbitrarios con privilegios de root.

Los problemas afectan a las versiones 10.3.5 y anteriores del Cliente Linux NetExtender; la versión corregida es la 10.3.6 y posteriores. Registrada como CVE-2026-66152, la vulnerabilidad más grave recibió una puntuación CVSS de 8.8.

SonicWall indicó que el problema reside en cómo el cliente de Linux maneja un archivo tarball de OPSWAT. Un atacante remoto podría explotar secuencias de salto de directorio para colocar archivos fuera del directorio de extracción previsto.

Debido a que la operación afectada se ejecuta con privilegios de root, una explotación exitosa podría permitir la escritura de archivos arbitrarios como root. Esto puede crear una ruta de escalada seria en sistemas Linux, dependiendo de dónde pueda escribir archivos el atacante y cómo sean utilizados posteriormente esos archivos por el sistema operativo o el software instalado.

Por ejemplo, un atacante podría intentar sobrescribir archivos de configuración, colocar scripts maliciosos en ubicaciones accedidas por procesos privilegiados o alterar archivos relacionados con el inicio del sistema.

El impacto final depende del entorno objetivo, los permisos de los archivos y de si se puede persuadir a una víctima para que interactúe con una actualización o archivo malicioso.

Vulnerabilidades de SonicWall NetExtender

La vulnerabilidad está clasificada como CWE-29, Salto de Directorio, que cubre ataques que utilizan secuencias de rutas especiales, como ..\, para escapar de un directorio objetivo. En escenarios de extracción de archivos, el manejo inseguro de las rutas de archivos puede permitir que entradas manipuladas escriban en ubicaciones inesperadas del sistema.

SonicWall también solucionó la CVE-2026-66153, una vulnerabilidad separada de resolución incorrecta de enlaces en el cliente Linux NetExtender. El fallo afecta al proceso de auto-actualización de NEService, que maneja archivos temporales de forma insegura.

Un atacante local con acceso al dispositivo podría manipular las rutas de archivos mediante enlaces simbólicos, influyendo potencialmente en dónde se accede a los archivos o dónde se escriben.

La CVE-2026-66153 tiene una puntuación CVSS de 7.0 y está categorizada como CWE-59, Resolución Incorrecta de Enlaces Antes del Acceso al Archivo, comúnmente conocida como un problema de seguimiento de enlaces simbólicos (symlink-following).

Tales fallos pueden volverse peligrosos cuando un software privilegiado realiza operaciones de archivos en ubicaciones temporales predecibles o controladas por el atacante. El primer problema tiene un vector de ataque de red y requiere interacción del usuario, según el aviso de SonicWall.

El segundo es un ataque local que requiere privilegios bajos y una alta complejidad de ataque. Ambas vulnerabilidades pueden afectar la confidencialidad, integridad y disponibilidad si se explotan con éxito.

SonicWall afirmó que actualmente no hay evidencia de que ninguna de las dos vulnerabilidades haya sido explotada en el mundo real. Sin embargo, NetExtender se utiliza ampliamente para proporcionar acceso remoto a entornos corporativos, lo que hace que el parcheo rápido sea importante para las organizaciones que despliegan el cliente de Linux.

Las vulnerabilidades están documentadas en el aviso de SonicWall SNWLID-2026-0013, publicado el 25 de agosto de 2026. No hay ninguna solución alternativa disponible.

Deberías actualizar las instalaciones afectadas del Cliente Linux NetExtender de la versión 10.3.5 o anterior a la versión 10.3.6 o posterior.

Tu equipo de seguridad también debería identificar los endpoints de Linux no gestionados, verificar las versiones del cliente instalado y revisar los mecanismos de actualización de software privilegiado en busca de extracciones de archivos inseguras y manejo incorrecto de archivos temporales. SonicWall confirmó que las versiones del cliente NetExtender basadas en Windows no se ven afectadas por estas vulnerabilidades.

Fuentes:
https://cybersecuritynews.com/sonicwall-netextender-vulnerabilities/