¿Qué es y cómo funciona la falla?
La vulnerabilidad CVE-2026-62977 afecta a BACnet Stack, una biblioteca de código abierto que implementa el protocolo BACnet para sistemas embebidos. La falla reside en la implementación del objeto FILE. Un atacante remoto puede enviar una solicitud WriteProperty(PROP_FILE_SIZE) para cambiar el tamaño de un archivo de acceso por flujo (stream-access) marcado como de solo lectura, sin que el sistema verifique este permiso.
Cuando el backend del archivo es RAMFS (un sistema de archivos en RAM):
- Al agrandar el archivo: el sistema solo realiza un
realloc()y actualiza el tamaño almacenado, pero no inicializa la nueva región de memoria expuesta. Un cliente puede luego recuperar esta región conAtomicReadFile, obteniendo potencialmente datos residuales de la memoria (bytes de relleno del sanitizador, contenido obsoleto del heap u otra memoria del proceso). - Al reducir el archivo: se puede truncar contenido que estaba destinado a ser de solo lectura.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones de BACnet Stack anteriores a la 1.5.1. La falla ha sido corregida en las versiones 1.5.1 y 1.6.0.
Impacto real y probabilidad de explotación
El impacto principal es la exfiltración de información sensible de la memoria del proceso y la modificación no autorizada de archivos supuestamente inmutables. La técnica MITRE ATT&CK asociada es T1078 – Valid Accounts, lo que sugiere que podría requerir cuentas válidas para la explotación.
Según datos de Shodan, actualmente hay 0 hosts indexados con esta vulnerabilidad detectada, lo que indica un volumen bajo de sistemas expuestos directamente en internet. INCIBE-CERT (España) clasifica la severidad de este CVE como P (Prioritaria).
¿Qué hacer?
Se recomienda actualizar la biblioteca BACnet Stack a la versión 1.5.1 o 1.6.0, donde el problema ha sido parcheado.
| CVE | CVE-2026-62977 |
|---|---|
| Severidad | HIGH |
| CWE | CWE-284, CWE-908 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.