Alerta NIST NVD: Vulnerabilidad en millones de routers residenciales permite espionaje de tráfico y secuestro DNS

El National Vulnerability Database (NVD) del NIST estadounidense ha calificado con severidad Crítica (CVSS 9.8) una vulnerabilidad presente en las implementaciones del estándar UPnP (Universal Plug and Play) que afecta a millones de routers domésticos y de pequeñas empresas en todo el mundo.

El mecanismo del secuestro de DNS

La falla aprovecha un desbordamiento de búfer en el demonio de descubrimiento de red expuesto inadvertidamente hacia la interfaz WAN (Internet). Un atacante situado en cualquier parte del mundo puede enviar una serie de paquetes UDP especialmente manipulados al puerto 1900, logrando ejecutar comandos en el sistema operativo del router con privilegios de superusuario (root).

Una vez tomado el control del enrutador, los atacantes modifican las direcciones de los servidores DNS primarios y secundarios, asignando servidores bajo su control. Esto provoca que cada vez que un ordenador, teléfono o televisor conectado a la red Wi-Fi intente acceder a un servicio bancario, correo electrónico o almacenamiento en la nube, sea conducido a servidores trampa que duplican la interfaz de inicio de sesión.

Pasos inmediatos para blindar tu router

Para mitigar este riesgo de forma inmediata sin esperar a que el fabricante publique un parche de firmware:

• Ingresa a la interfaz de administración del router (usualmente en 192.168.1.1 o 192.168.0.1).
• Dirígete al apartado de red avanzada y desactiva completamente UPnP.
• Verifica que la opción de Acceso Remoto / Gestión WAN se encuentre estrictamente deshabilitada.
• Configura manualmente servidores DNS con filtrado criptográfico DoH (DNS-over-HTTPS), como Cloudflare (1.1.1.1) o Quad9 (9.9.9.9).