Vulnerabilidades Críticas en YoSmart YoLink Smart Hub Exponen Hogares Inteligentes a Ataques Remotos

Consulte el aviso completo de CSAF aquí

Fallos Críticos en YoSmart YoLink Smart Hub Permiten Explotación Remota

La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha revelado múltiples vulnerabilidades críticas en el YoSmart YoLink Smart Hub, un dispositivo ampliamente utilizado en la automatización de hogares inteligentes. La explotación exitosa de estos fallos podría permitir a actores malintencionados tomar el control remoto de dispositivos inteligentes conectados, interceptar datos sensibles y secuestrar sesiones de usuario, lo que representa graves riesgos para los ecosistemas IoT residenciales y de pequeñas empresas.

Detalles Técnicos

Las vulnerabilidades afectan a las versiones del firmware del YoSmart YoLink Smart Hub anteriores a la 4.1.2.6 y están registradas bajo los siguientes IDs de CVE:

• CVE-2026-23456 – Autenticación Impropia (CVSS 9.8): Permite a atacantes no autenticados eludir los mecanismos de autenticación mediante solicitudes de red manipuladas, otorgando acceso no autorizado al dispositivo.
• CVE-2026-23457 – Referencia Directa Insegura a Objetos (CVSS 8.5): Facilita a los atacantes manipular IDs de dispositivos o tokens de sesión, lo que conduce al secuestro de sesiones o al control no autorizado de dispositivos inteligentes de otros usuarios.

Detalles técnicos adicionales, incluyendo información sobre pruebas de concepto (PoC), están disponibles en el aviso de CSAF.

Análisis de Impacto

Si se explotan, estas vulnerabilidades podrían resultar en:

• Control remoto no autorizado de cerraduras inteligentes, cámaras, termostatos y otros dispositivos IoT conectados al YoLink Hub.
• Intercepción de datos sensibles, incluyendo credenciales de dispositivos, tráfico de red y registros de actividad de usuarios.
• Secuestro de sesiones, permitiendo a los atacantes suplantar a usuarios legítimos y ejecutar comandos en su nombre.
• Movimiento lateral dentro de redes de hogares inteligentes, comprometiendo potencialmente dispositivos adicionales.

Las altas puntuaciones CVSS (9.8 y 8.5) subrayan la urgencia de aplicar parches, especialmente dado el papel del hub como punto central de control para los ecosistemas de hogares inteligentes.

Recomendaciones para Equipos de Seguridad

CISA y YoSmart instan a los usuarios a tomar las siguientes medidas de inmediato:

1. Aplicar la última actualización de firmware (v4.1.2.6 o posterior) a través de la aplicación móvil de YoLink o el sitio web oficial.
2. Aislar el YoLink Hub de redes no confiables hasta que se apliquen los parches.
3. Monitorear el tráfico de red en busca de actividad inusual, como llamadas no autorizadas a APIs o reconfiguraciones de dispositivos.
4. Implementar autenticación robusta para todos los dispositivos IoT conectados, incluyendo autenticación multifactor (MFA) cuando sea posible.
5. Revisar el aviso de CISA para obtener estrategias adicionales de mitigación e indicadores de compromiso (IoCs).

Para más orientación, consulte el aviso oficial de CISA (ICSA-26-013-03).

Esta es una noticia en desarrollo. Se proporcionarán actualizaciones a medida que haya más información disponible.