Se han detectado vulnerabilidades críticas en el software vCast de ViewSonic que podrían permitir a atacantes dentro de la misma red robar contenido de la pantalla, instalar aplicaciones maliciosas de Android y, potencialmente, obtener el control total de las pantallas inteligentes ViewBoard. Estas fallas, detalladas en la nota de vulnerabilidad VU#234131 del CERT Coordination Center, se deben a la existencia de múltiples puntos finales de red no autenticados.

Vulnerabilidades críticas en el software vCast de ViewSonic podrían permitir que atacantes en la misma red roben el contenido de la pantalla, instalen aplicaciones maliciosas de Android y, potencialmente, obtengan el control total de las pantallas inteligentes ViewBoard afectadas.

Los problemas fueron revelados en la Nota de Vulnerabilidad VU#234131 del Centro de Coordinación CERT, publicada el 24 de septiembre de 2026. El aviso indica que múltiples puntos finales de red no autenticados en la suite vCast pueden encadenarse para comprometer un dispositivo sin requerir la interacción del usuario.

Los ViewBoards de ViewSonic son pantallas inteligentes interactivas basadas en Android ampliamente utilizadas en escuelas, oficinas, salas de reuniones y otros entornos empresariales. Los dispositivos utilizan la suite de software vCast para admitir el uso compartido de pantalla inalámbrico y conexiones entre la pizarra inteligente y los dispositivos cliente.

Los investigadores identificaron tres vulnerabilidades que afectan a los servicios expuestos de vCast. Los fallos están registrados como CVE-2026-82987, CVE-2026-82988 y CVE-2026-82989.

Vulnerabilidades de ViewSonic vCast

El CVE-2026-82989 afecta al servicio de streaming de medios de vCast. Un atacante puede enviar solicitudes GET no autenticadas a los puntos finales de la API /snapshot o /screen para recuperar imágenes JPEG de la pantalla del dispositivo.

Esto podría exponer presentaciones sensibles, discusiones de reuniones, credenciales, documentos, material educativo u otra información mostrada en un ViewBoard afectado.

El CVE-2026-82988 impacta el mecanismo de entrega de APK utilizado por vCast. El fallo permite que un atacante remoto proporcione una URL de APK maliciosa a un punto final de descarga no autenticado. El dispositivo puede entonces descargar e instalar la aplicación de Android proporcionada sin autenticación.

El tercer problema, CVE-2026-82987, permite a los atacantes inyectar entradas arbitrarias en los puntos finales del servicio vCast expuestos a través de solicitudes HTTP. Aunque cada fallo crea una exposición grave por sí solo, el riesgo principal proviene de encadenar las vulnerabilidades entre sí.

Un atacante conectado a la misma red compartida podría primero acceder a capturas de pantalla para identificar contenido valioso o usuarios activos. Luego, podría abusar de la capacidad expuesta de instalación de APK para colocar una aplicación maliciosa en el dispositivo. Esto podría proporcionar acceso persistente, permitir el monitoreo, ejecutar código arbitrario y dar al atacante el control sobre la pizarra inteligente.

CERT/CC advirtió que un ViewBoard comprometido también puede convertirse en un punto de apoyo para el movimiento lateral dentro de la red conectada. Esto crea un riesgo adicional para las organizaciones que despliegan pantallas inteligentes en la misma red que las estaciones de trabajo de los empleados, servidores, sistemas administrativos o repositorios de datos sensibles.

Al momento del aviso, el estado del proveedor ViewSonic figuraba como desconocido, y CERT/CC dijo que no pudo contactar a la empresa durante la coordinación de la vulnerabilidad. Debes aplicar las actualizaciones de firmware tan pronto como ViewSonic publique las correcciones de seguridad.

Hasta que se publiquen los parches, debes aislar los ViewBoards con vCast habilitado en un segmento de red dedicado, restringir el acceso a los usuarios y dispositivos requeridos, y evitar la comunicación innecesaria con los sistemas internos. Los equipos de seguridad también deben monitorear el tráfico de red en busca de solicitudes HTTP sospechosas y conexiones inesperadas que involucren los servicios de vCast.