Critical Node-RED Flaw Exploited in Attacks

Una vul­ne­ra­bi­li­dad de má­xi­ma gra­ve­dad en la he­rra­mien­ta de pro­gra­ma­ción Node-RED está sien­do apro­ve­cha­da por ci­ber­de­lin­cuen­tes para ins­ta­lar di­fe­ren­tes car­gas ma­li­cio­sas. Este fallo, que pre­sen­ta una pun­tua­ción má­xi­ma en su es­ca­la de gra­ve­dad, con­sis­te en la au­sen­cia de au­ten­ti­ca­ción en la in­ter­faz HTTP del sis­te­ma, lo que fa­ci­li­ta que los ata­can­tes al­can­cen nodos de pro­gra­ma­ción ca­pa­ces de eje­cu­tar co­man­dos a nivel de sis­te­ma ope­ra­ti­vo sin ne­ce­si­dad de estar au­ten­ti­ca­dos.

La em­pre­sa Sie­mens in­for­mó sobre este pro­ble­ma tras de­tec­tar­lo en equi­pos es­pe­cí­fi­cos que uti­li­za­ban su sis­te­ma ope­ra­ti­vo in­dus­trial con Node-RED in­te­gra­do, los cua­les ya cuen­tan con ac­tua­li­za­cio­nes para co­rre­gir la falla. Según la ad­ver­ten­cia emi­ti­da, la vul­ne­ra­bi­li­dad po­si­bi­li­ta que un ata­can­te re­mo­to sin cre­den­cia­les ge­ne­re flu­jos ma­li­cio­sos y eje­cu­te có­di­go ar­bi­tra­rio en el ser­vi­dor afec­ta­do con los má­xi­mos pri­vi­le­gios po­si­bles.

Em­pre­sas de in­te­li­gen­cia en vul­ne­ra­bi­li­da­des de­tec­ta­ron ata­ques reales en los que se em­pleó esta de­bi­li­dad para in­tro­du­cir un bot para Linux y, pos­te­rior­men­te, webshells per­sis­ten­tes que otor­gan a los agre­so­res la ca­pa­ci­dad de co­rrer co­man­dos ar­bi­tra­rios en las má­qui­nas com­pro­me­ti­das. Las ope­ra­cio­nes de­tec­ta­das evi­den­cian que los ata­can­tes bus­can ac­ti­va­men­te ins­tan­cias des­pro­te­gi­das de la he­rra­mien­ta para ex­plo­tar­las de ma­ne­ra au­to­ma­ti­za­da me­dian­te una única pe­ti­ción HTTP.