Ocho fallos de seguridad en NodeBB
Ocho fallos de seguridad en NodeBB se hicieron públicos el miércoles, junto con el código para explotarlos. Aikido Security califica los ocho como de alta gravedad y afirma que sus agentes de pruebas de penetración con IA los encontraron en una revisión de seis horas del código fuente del software de foros. Todas las versiones anteriores a la 4.14.0 están afectadas. NodeBB ha corregido todos los fallos y los administradores deberían actualizar a la versión 4.14.2.
El fallo más simple requiere un cambio de configuración. Un miembro normal del foro podía dirigir su configuración de página de inicio a la dirección del administrador, recargar la página y el panel de administración se abría para él. Sin contraseña, sin código de explotación. La propia interfaz del foro bloqueaba esa configuración, pero el bloqueo solo se ejecutaba en el navegador y podía eludirse. La mayor parte de lo que un miembro podía alcanzar era de solo lectura, incluido el registro de errores y cualquier lista de usuarios que un administrador hubiera exportado, aunque también podían cambiar el logotipo del sitio.
Dos fallos más permitían a un atacante sin cuenta acceder a cosas destinadas a ser privadas. Uno permitía a cualquiera hacerse pasar por cualquier usuario y leer mensajes privados uno a uno. El otro entregaba el contenido de categorías privadas a cualquiera que lo solicitara de la manera correcta.
El fallo más amplio estaba en cómo NodeBB construye sus páginas. El software rellena una página y luego hace un segundo pase para intercambiar texto traducido. La entrada del usuario ya estaba en la página para entonces, y podía introducir de contrabando los códigos que busca ese segundo pase. Eso permitía a un atacante plantar un enlace en casi cualquier lugar del sitio, incluso dentro de publicaciones normales del foro, que ejecutaba su código cuando un visitante hacía clic.
El resto permitía a un atacante tomar el control de una publicación existente, inflar el recuento de votos de una publicación y ejecutar dos ataques que plantan código malicioso mediante un servidor falso en el fediverso, la red de sitios sociales conectados a los que un foro NodeBB puede unirse.
Quién estaba realmente expuesto
Los ocho no son iguales. Tres no necesitan cuenta en el foro objetivo. Dos necesitan una cuenta de miembro normal. Los últimos tres necesitan que alguien haga clic en un enlace o abra una página. Cinco de los ocho, según el recuento de The Hacker News, se encuentran en el código de federación de NodeBB, la parte que conecta un foro con Mastodon y otros sitios sociales. Eso determinaba quién estaba en riesgo. Los foros instalados nuevos en la versión 4 federan por defecto, por lo que tenían los ocho. Los foros que actualizaron desde la versión 3 tenían la federación desactivada automáticamente y, a menos que un administrador la volviera a activar, solo se aplicaban tres de los fallos.
Aikido no publicó puntuaciones de gravedad para los fallos individuales, y las notas de lanzamiento de NodeBB no los califican. La propia escala de recompensas por errores de NodeBB califica las secuencias de comandos entre sitios y la toma de control de cuentas como altas, y el acceso de administrador como crítico.
Corregidos por partes desde mayo
NodeBB corrigió la mayoría de ellos en silencio, sin decir lo que eran. The Hacker News verificó cada corrección con el historial de lanzamientos de NodeBB: cuatro se enviaron en mayo, dos en junio, y la más grande, una reconstrucción de cómo el software maneja el texto de la página, llegó en la versión 4.14.0 el 9 de julio. Esa reconstrucción tocó 325 archivos.
El informe de Aikido dice que los problemas se corrigieron a principios de julio, lo que no coincide con ese registro. Su enlace para la corrección del panel de administración apunta a un cambio realizado en enero de 2024, dos años antes de la revisión, mientras que las propias notas de lanzamiento de NodeBB nombran un cambio diferente de mayo. Ninguna de las partes explica la discrepancia.
Los administradores deberían actualizar a la versión 4.14.2, lanzada el 23 de julio. Espere algo de trabajo, porque la versión 4.14.0 cambió la forma en que las plantillas de página manejan el texto y los temas personalizados y los plugins pueden necesitar actualización. Desactivar la federación tampoco es una respuesta completa, ya que tres de los fallos no tienen nada que ver con ella.
Ninguno de los ocho tiene un número de seguimiento CVE, y nadie ha reportado ataques que los utilicen. Un fallo de federación separado de NodeBB sí tiene uno, CVE-2026-58593, presentado el 1 de julio. No es uno de los ocho de Aikido, pero está en el mismo código y permite que un servidor externo publique y envíe mensajes en nombre de cualquier cuenta local, incluida la del administrador. Necesita la federación activada y el registro no nombra una versión corregida.
La página de recompensas por errores de NodeBB dice que rechaza informes generados por IA y paga solo por el trabajo que el remitente realizó por sí mismo. Eso rige los pagos más que las correcciones, y estos ocho fueron reportados directamente a los mantenedores y corregidos.
NodeBB no es el único proyecto que los recibe: la plataforma de automatización n8n corrigió un fallo de inicio de sesión en junio que encontró un agente de pruebas de penetración de IA diferente. La nota del cofundador Julian Lam en el anuncio de lanzamiento dice que llegaron informes de seguridad válidos de manera constante durante el mes, "aunque casi todos descubiertos y generados por IA".
El patrón detrás de los ocho es el mismo. NodeBB verificaba quién eras en la ruta principal hacia una función y omitía la verificación en la ruta secundaria que llegaba al mismo lugar.
Deja una respuesta