Vulnerabilidad crítica en la biblioteca Node.js: amenaza para miles de proyectos

Vulnerabilidad crítica en una popular biblioteca JavaScript (Node.js): amenaza de ejecución remota de código

La comunidad de desarrolladores de Node.js se ha visto sacudida por la noticia del descubrimiento de una vulnerabilidad crítica que afecta a una de las bibliotecas más utilizadas del ecosistema. El problema, identificado como CVE-2024-XXXX (número por confirmar), permite a un atacante ejecutar código arbitrario de forma remota (RCE) en un servidor que ejecute Node.js. Según expertos en ciberseguridad, la vulnerabilidad afecta a millones de proyectos en todo el mundo.

El problema

La vulnerabilidad fue descubierta en la biblioteca «fast-xml-parser» (versiones anteriores a la 4.3.4), que se utiliza para analizar documentos XML y HTML. La biblioteca se encuentra entre los 1000 paquetes más populares del gestor npm y cuenta con más de 15 millones de descargas semanales. El problema radica en el manejo incorrecto de entidades externas XML (XXE — XML External Entity).

Al procesar un documento XML especialmente diseñado, la biblioteca no verifica los recursos externos vinculados, lo que permite al atacante:

• Leer archivos arbitrarios en el servidor (por ejemplo, contraseñas, claves de acceso, configuraciones);
• Ejecutar comandos arbitrarios a través de SSRF (Server-Side Request Forgery);
• Provocar una denegación de servicio (DoS) mediante enlaces recursivos infinitos.

El hecho de que no se requiera autenticación para explotar la vulnerabilidad la hace especialmente peligrosa: basta con que el servidor procese un documento XML malicioso enviado a través de una solicitud HTTP, una carga de archivo o WebSocket.

¿Qué versiones están en riesgo?

Los investigadores de seguridad han confirmado que todas las versiones de la biblioteca fast-xml-parser inferiores a 4.3.4 son vulnerables. También están en riesgo los proyectos que utilizan versiones obsoletas de paquetes que dependen transitivamente de esta biblioteca (a través de otras dependencias).

La situación es especialmente crítica para:

• Servidores web que procesan solicitudes XML-RPC;
• Sistemas de integración con servicios SOAP;
• Aplicaciones que utilizan OpenAPI/Swagger con esquemas XML;
• Servicios que trabajan con archivos de configuración en formato XML.

Recomendaciones de protección

Los desarrolladores de la biblioteca ya han lanzado un parche en la versión 4.3.4. Recomendamos encarecidamente a todos los usuarios de Node.js que realicen inmediatamente las siguientes acciones:

• Actualizar la biblioteca — ejecute el comando npm update fast-xml-parser o cambie manualmente la versión en package.json a "^4.3.4";
• Verificar dependencias transitivas — use npm audit para identificar dependencias anidadas obsoletas;
• Deshabilitar entidades externas — si no es posible actualizar, deshabilite explícitamente el procesamiento de DOCTYPE y entidades externas mediante las opciones del analizador;
• Implementar un WAF — configure un Web Application Firewall para bloquear solicitudes XML sospechosas.

Los expertos señalan que este no es el primer caso de vulnerabilidad crítica en bibliotecas de análisis de datos. Anteriormente se encontraron problemas similares en bibliotecas para analizar YAML (js-yaml) y CSV (papaparse). Los desarrolladores deben prestar más atención a