Qué es y cómo funciona
Una vulnerabilidad en Linux Foundation Magma hasta la versión 1.9.0 permite eludir la autenticación mediante la manipulación del argumento X-Magma-Client-Cert-Serial en el archivo orc8r/cloud/go/services/obsidian/access/operator.go del componente Obsidian REST. Un atacante puede suplantar certificados de forma remota para acceder sin autorización.
Productos y versiones afectadas
Versiones de Magma iguales o anteriores a 1.9.0.
Impacto y explotación
La vulnerabilidad tiene un CVSS de 7.3 (Alto) y está catalogada como CWE-287 (Improper Authentication) y CWE-290 (Authentication Bypass by Spoofing). Según Shodan, actualmente no hay hosts expuestos detectados en internet, pero el riesgo teórico es significativo. La técnica MITRE ATT&CK asociada es T1078 – Valid Accounts.
Qué hacer
El fabricante fue contactado tempranamente pero no respondió. Se recomienda actualizar Magma a una versión posterior a 1.9.0 tan pronto como esté disponible un parche oficial.
| CVE | CVE-2026-129360 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| CWE | CWE-287, CWE-290 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.