El miércoles se hicieron públicos ocho fallos de seguridad en NodeBB y el código que los explota. Aikido Security califica los ocho como de alta gravedad y dice que su agente de pruebas de penetración de IA descubrió las vulnerabilidades después de pasar seis horas examinando el código fuente del software del foro.
Todas las versiones anteriores a la 4.14.0 se ven afectadas. NodeBB los ha solucionado todos y los administradores deberían usar 4.14.2.
El método más sencillo consiste en cambiar la configuración. Los miembros habituales del foro especifican una dirección de administrador en la configuración de su página de inicio y, cuando recargan la página, se abre el panel de administración. No hay contraseñas ni códigos de explotación.
La propia interfaz del foro bloquea esa configuración, pero el bloqueo sólo se realiza dentro del navegador, por lo que se puede eludir. La mayor parte de lo que los miembros tenían acceso era de solo lectura, como los registros de errores y las listas de usuarios exportadas por los administradores, pero también podían intercambiar logotipos de sitios.
Los dos restantes dieron a los atacantes sin ninguna cuenta acceso a cosas que deberían haber sido privadas. Cualquiera puede afirmar ser cualquier usuario y leer los mensajes privados de uno en uno. La otra era entregar contenido de categoría privada a quien lo solicitó de manera adecuada.
El mayor defecto estaba en la forma en que se construyeron las páginas de NodeBB. El software llena la página y luego realiza una segunda pasada, intercambiando el texto traducido. En ese momento, la entrada del usuario ya está en la página y el código buscado en la segunda pasada podría incluirse subrepticiamente. Esto permite al atacante colocar un enlace en casi cualquier lugar del sitio, incluso en las publicaciones habituales del foro, y cuando un visitante hace clic en él, se ejecutará su código.
En las partes restantes, los atacantes realizan dos ataques: secuestrar publicaciones existentes, inflar el recuento de votos de la publicación y colocar código malicioso a través de un servidor falso en Fediverse, una red de sitios sociales conectados en los que pueden participar los foros de NodeBB.
¿Quién estuvo realmente expuesto?
Ocho no son iguales. 3 personas no necesitan una cuenta en el foro de destino. Dos requieren una cuenta de membresía general. Los últimos tres requieren que alguien haga clic en un enlace o abra una página.
Cinco de los ocho están en el código de la federación de NodeBB, la parte que conecta el foro con Mastodon y otros sitios sociales, según un recuento de The Hacker News. Eso determina quién estaba en riesgo. De forma predeterminada, los foros recién instalados en la versión 4 se federaron, por lo que se incluyeron los ocho. Los foros actualizados desde la versión 3 tenían la federación desactivada automáticamente y sólo tres defectos se vieron afectados a menos que un administrador volviera a activar la federación.
Aikido no publica puntuaciones de gravedad para fallas individuales, ni las califica en las notas de la versión de NodeBB. La propia escala de recompensas por errores de NodeBB califica las secuencias de comandos entre sitios y la apropiación de cuentas como altas, y obtener acceso de administrador como importante.
Los parches se han aplicado poco a poco desde mayo.
NodeBB solucionó silenciosamente la mayoría de ellos sin revelarlos. Hacker News comparó cada solución con el historial de lanzamientos de NodeBB. Cuatro se enviaron en mayo, dos en junio y el más grande, una reestructuración de cómo el software maneja el texto de la página, llegó a la versión 4.14.0 el 9 de julio. Esta reconstrucción cubrió 325 archivos.
El artículo de Aikido afirma que el problema se solucionó a principios de julio, pero esto no coincide con ese registro. El enlace a la solución en el panel de administración apunta a un cambio realizado en enero de 2024, dos años antes de la revisión, pero las notas de la versión de NodeBB dan un nombre diferente al cambio que en mayo. Ninguna de las partes ha explicado la brecha.
Los administradores deberían actualizar a 4.14.2, lanzada el 23 de julio. Espere algo de trabajo en 4.14.0, ya que cambia la forma en que las plantillas de página manejan el texto y puede requerir actualizaciones de temas y complementos personalizados. Desactivar la federación tampoco es una solución completa, ya que los tres defectos no están relacionados con la federación.
Ninguno de los ocho tiene números de seguimiento CVE y nadie ha informado de ataques que los utilicen. Otro fallo de la federación NodeBB es el CVE-2026-58593, presentado el 1 de julio. Aunque esta no es una de las ocho fallas del Aikido, existe dentro del mismo código y permite que servidores externos publiquen y envíen mensajes en nombre de cualquier cuenta local, incluidos los administradores. La federación debe estar activada y los nombres de los registros no tienen versiones fijas.
La página de recompensas por errores de NodeBB establece que los informes generados por IA serán rechazados y los remitentes solo recibirán pago por el trabajo que hayan realizado ellos mismos. Esto controla los pagos, no los arregla, y estos ocho fueron reportados directamente al mantenedor y parcheados.
NodeBB no es el único proyecto que trabaja en estas cosas. La plataforma de automatización n8n corrigió una falla de inicio de sesión descubierta por otro agente de pruebas de penetración de IA en junio. A lo largo de este mes ha llegado un flujo constante de informes de seguridad válidos «a pesar de que casi todos han sido descubiertos y generados por IA», según una nota del cofundador Julian Lam que anuncia el lanzamiento.
El patrón detrás de los ocho es el mismo. NodeBB verificó quién es el usuario en la ruta principal que ingresa a la función y omitió verificar las rutas secundarias que llegan a la misma ubicación.
Source link
