Vulnerabilidades en Meteobridge: cuando tu estación meteorológica se convierte en puerta trasera
Me pasé años pensando que las estaciones meteorológicas eran dispositivos inofensivos. Ya sabes, esos aparatitos que te dicen si va a llover mañana para saber si cancelar ese plan de picnic. Pues resulta que no. La CISA acaba de confirmar que los dispositivos Meteobridge están siendo atacados activamente por una vulnerabilidad que, aunque ya tiene parche, sigue causando problemas.
El fallo que convierte tu estación del tiempo en una pesadilla de seguridad
La vulnerabilidad identificada como CVE-2025-4008 tiene una puntuación CVSS de 8.7. Para los que no estéis familiarizados con esta escala, digamos que es como cuando el médico te dice que tu nivel de colesterol está en 240 — técnicamente no estás muerto, pero deberías tomártelo muy en serio.
El problema se encuentra en un script CGI de la interfaz web de Meteobridge que permite la inyección de comandos. Y aquí viene lo bueno (o lo malo, según se mire): esta vulnerabilidad no requiere autenticación. Es decir, el atacante no necesita conocer ninguna contraseña para ejecutar código malicioso en tu dispositivo. Es como si dejaras la puerta de casa no solo abierta, sino con un cartel de «pase usted, sírvase lo que quiera».
Cómo funciona este ataque (sin complicaciones técnicas)
Lo que hace especialmente peligrosa esta vulnerabilidad es su simplicidad. El dispositivo Meteobridge toma la entrada del usuario y la pasa directamente a una función eval() sin sanitizarla primero.
Para explicarlo en términos sencillos: imagina que le pides a Meteobridge que te muestre la temperatura, pero en lugar de eso, alguien le dice «muéstrame la temperatura Y de paso borra todos los datos del sistema». Al no validar lo que recibe, el dispositivo obedece ambas órdenes sin pestañear.
Según los expertos de Onekey: «La explotación remota a través de una página web maliciosa también es posible, ya que es una solicitud GET sin ningún tipo de encabezado personalizado o parámetro de token». En cristiano: cualquiera puede atacar tu dispositivo con un simple comando curl o incluso engañándote para que visites una web preparada para ello.
Dispositivos expuestos: ¿por qué hay estaciones meteorológicas en internet?
Aquí viene la parte interesante: Meteobridge no debería estar expuesto a internet. Estos dispositivos están diseñados para funcionar en tu red local, conectando tus estaciones meteorológicas a redes meteorológicas públicas. Sin embargo, según datos de Shodan (algo así como el Google de dispositivos conectados), aproximadamente 100 de estos aparatos son directamente accesibles desde internet.
¿Por qué alguien expondría su estación meteorológica a internet? Probablemente por la misma razón que la gente sigue usando «password123» como contraseña: la comodidad vence al sentido común. Algunos administradores quieren acceder a sus datos meteorológicos desde cualquier lugar, así que abren puertos en su router sin considerar las consecuencias.
El calendario del desastre
La cronología de este problema no deja en buen lugar a los responsables:
- Smartbedded (fabricante de Meteobridge) lanzó un parche en mayo de 2025 con la versión 6.2
- Lo curioso es que anunció que había corregido «un riesgo de seguridad de la aplicación» sin mencionar la CVE ni advertir de la gravedad
- Meses después, la CISA confirma que esta vulnerabilidad está siendo activamente explotada
Esto nos recuerda una verdad incómoda: los parches de seguridad no sirven de nada si no se aplican, y no se aplicarán si los fabricantes no comunican claramente la importancia de actualizarse.
No solo es Meteobridge: CISA amplía su catálogo de vulnerabilidades explotadas
La CISA no se ha limitado a alertar sobre Meteobridge. También ha añadido a su catálogo KEV (Vulnerabilidades Conocidas Explotadas) otros problemas de seguridad:
- Un reciente zero-day de Samsung (CVE-2025-21043)
- Tres vulnerabilidades antiguas que siguen dando problemas:
- Jenkins (CVE-2017-1000353)
- Juniper ScreenOS (CVE-2015-7755)
- GNU Bash OS (CVE-2014-6278, el infame Shellshock)
Resulta asombroso que vulnerabilidades de hace más de una década sigan siendo explotadas activamente. Es como si siguiéramos muriendo de enfermedades para las que tenemos vacuna desde hace años.
¿Qué hacer si tienes un dispositivo Meteobridge?
Si eres uno de los afortunados propietarios de un dispositivo Meteobridge, aquí tienes algunos consejos que no te dará el manual:
- Actualiza inmediatamente a la versión 6.2 o posterior
- Asegúrate de que tu dispositivo no está expuesto directamente a internet
- Si necesitas acceso remoto, considera usar una VPN
- Verifica en Shodan si tu dispositivo está expuesto (aunque esto requiere ciertos conocimientos técnicos)
Para las agencias federales de EE.UU., esto no es una recomendación sino una obligación: la Directiva Operacional Vinculante (BOD) 22-01 les da tres semanas para abordar esta vulnerabilidad.
La lección que nunca aprendemos
Este incidente con Meteobridge es un recordatorio de algo que los profesionales de la ciberseguridad llevamos años repitiendo: cualquier dispositivo conectado es un dispositivo potencialmente vulnerable. No importa si es una sofisticada base de datos o una inocente estación meteorológica.
Lo triste es que seguimos teniendo las mismas conversaciones sobre vulnerabilidades que no se parchean, dispositivos mal configurados y fabricantes que no comunican adecuadamente los riesgos. Mientras tanto, los atacantes siguen descubriendo nuevas formas de aprovechar estas brechas.
Y ahí seguimos nosotros, explicando por qué tu estación meteorológica podría ser la puerta de entrada a un ataque a tu red doméstica o empresarial. Quizás en 2035 estaremos hablando del mismo problema, pero con neveras inteligentes o cepillos de dientes conectados.
