Ошибка из 1990-х дожила до 2026 года и открыла путь к root на TACACS+ сервере
2026-09-25
Se ha descubierto una vulnerabilidad crítica en el popular servidor tac_plus, el cual gestiona el protocolo TACACS+ para centralizar la autenticación, autorización y registro (AAA) de administradores en routers y switches. El fallo permite la ejecución remota de código (un método para que un atacante tome el control de un sistema) incluso antes de que el usuario ingrese su nombre de usuario o contraseña. Debido a que tac_plus suele ejecutarse con permisos de 'root' (el nivel más alto de control en un sistema), un atacante podría tomar el control total del servidor.
El problema es un error de 'formato de cadena' en un código antiguo que data de mediados de los años 90. La falla ocurre cuando el servidor procesa mal ciertos datos enviados por el cliente, permitiendo que comandos maliciosos modifiquen la memoria del sistema. Según la firma de seguridad Elttam, la gravedad del riesgo es de 9,8 sobre 10 si la clave de seguridad es débil, y de 8,1 si se utiliza una clave larga y aleatoria.
Aunque Cisco informó que sus productos modernos no están afectados, el riesgo es alto para quienes usan versiones de Shrubbery Networks tac_plus hasta la F4.0.4.31. Un detalle preocupante es que el fork (una versión derivada) de Facebook también es vulnerable y, al estar archivado desde agosto de 2025, no recibirá actualizaciones de seguridad.
La vulnerabilidad se suma a un panorama de amenazas reales, como las campañas de los grupos Salt Typhoon y Fire Ant, que han buscado interceptar este tipo de tráfico para espiar redes y robar credenciales de administradores.
Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza servidores tac_plus para gestionar el acceso a sus equipos de red (routers o switches), debe actuar de inmediato. Primero, verifique si su versión es inferior a la F4.0.4.32 de Shrubbery Networks y actualice a la versión F4.0.4.32 lo antes posible. Si utiliza la versión de Facebook, tenga en cuenta que no tiene soporte y deberá buscar una alternativa segura. Como medida de emergencia mientras actualiza, restrinja el acceso al puerto TCP/49 únicamente a las direcciones IP de sus equipos de red de confianza y asegúrese de usar claves de seguridad largas y aleatorias.