¿Qué es la vulnerabilidad CVE-2026-119737?
CVE-2026-119737 es una vulnerabilidad de inyección de comandos calificada con una puntuación CVSS de 7.8 que afecta al demonio pppoe_wrapper del SDK de Amlogic Android. Al igual que en CVE-2026-58946: Vulnerabilidad Crítica CVSS 8.4 de Escalada de Privilegios, este fallo pone en riesgo la integridad del sistema operativo local.
El problema se manifiesta específicamente en dispositivos como las TV Box Nexbox A95X equipadas con procesadores Amlogic S905 y S905X. Los detalles técnicos completos se pueden consultar en Referencia técnica en mstreet97.github.io y.
¿Cómo se produce la inyección de comandos?
Un atacante local puede aprovechar este fallo enviando mensajes manipulados a un socket de datagramas AF_UNIX accesible globalmente en /dev/socket/pppoe_wrapper. Situaciones similares de riesgo local han sido estudiadas en Vulnerabilidad crítica CVE-2026-115905 con CVSS 10.0 en la librería zip de Rust y CVE-2026-58946: Vulnerabilidad Crítica CVSS 8.4 de Escalada de Privilegios.
Cuando el mensaje comienza con 'pppd pty' seguido de metacaracteres de shell y comandos arbitrarios, estos se pasan sin filtrar a system(3). Como resultado, son ejecutados por /system/bin/sh -c con permisos de root.
¿Cómo me protejo?
Para mitigar los riesgos derivados de esta vulnerabilidad en entornos de producción o dispositivos domésticos, es fundamental aplicar controles estrictos de acceso.
Puedes revisar el seguimiento oficial del problema en NIST NVD y CVE.org para verificar si el fabricante publica nuevos parches.