Se detectó una vulnerabilidad crítica en la biblioteca nlohmann/json para C++

Entrenador de Python en Línea para Principiantes

Aprende Python fácilmente sin sobrecargarte de teoría. Resuelve tareas prácticas con verificación automática, recibe pistas y escribe código directamente en el navegador, sin instalar nada.

Start Course

Vulnerabilidad crítica en la popular biblioteca C++ nlohmann/json

Especialistas en ciberseguridad descubrieron una peligrosa vulnerabilidad (CVE-2024-XXXX) en la ampliamente utilizada biblioteca C++ nlohmann/json. Este analizador JSON es considerado una de las herramientas más populares en el ecosistema C++ — se utiliza en proyectos que van desde sistemas embebidos hasta grandes soluciones de servidor. La vulnerabilidad permite a un atacante provocar de forma remota una denegación de servicio (DoS) o, en algunos escenarios, ejecutar código arbitrario.

¿Cómo funciona la vulnerabilidad?

El problema radica en el procesamiento de estructuras JSON recursivas. Cuando la biblioteca se encuentra con objetos o matrices profundamente anidados, puede agotar la pila de llamadas. Bajo ciertas condiciones, esto provoca un desbordamiento de búfer, lo que abre el camino para un ataque. El exploit no requiere autenticación — basta con enviar una solicitud JSON especialmente diseñada a un servidor o cliente vulnerable.

Versiones afectadas

La vulnerabilidad afecta a todas las versiones de la biblioteca desde la 3.10.0 hasta la 3.11.2 inclusive. Los desarrolladores ya lanzaron un parche en la versión 3.11.3 que corrige el problema. Si utiliza versiones más antiguas (anteriores a la 3.10.0), también son potencialmente vulnerables, pero no se ha lanzado un parche para ellas — se recomienda una actualización inmediata a la versión estable más reciente.

Principales riesgos

Denegación de servicio (DoS): Un atacante puede «tumbar» el servicio enviando un JSON malicioso.
Fuga de datos: En algunas configuraciones, es posible el acceso a la memoria del proceso.
Ejecución remota de código: Teóricamente es posible el compromiso total del sistema.

¿Qué deben hacer los desarrolladores?

El primer paso y el más importante es actualizar la biblioteca a la versión 3.11.3 o superior. Esto se puede hacer a través del gestor de paquetes Conan, vcpkg o descargando el código fuente desde GitHub.

Medidas de seguridad adicionales:

Limite el tamaño de las solicitudes JSON entrantes a nivel del servidor web.
Configure tiempos de espera para el procesamiento de datos.
Active el modo estricto de análisis JSON (si la biblioteca lo admite).
Realice una auditoría de código para detectar el uso de versiones vulnerables en las dependencias.

Conclusión

Este hallazgo recuerda la importancia de actualizar periódicamente los componentes en los proyectos C++. Incluso las bibliotecas probadas durante años pueden contener errores críticos. Recomendamos suscribirse al repositorio nlohmann/json en GitHub para recibir notificaciones oportunas sobre nuevas versiones y parches de seguridad.

Siga las actualizaciones en PythonLib — le mantendremos informado sobre los eventos en el mundo de C++ y Python.