Vulnerabilidad crítica en biblioteca C#: amenaza para proyectos .NET

Entrenador de Python en Línea para Principiantes

Aprende Python fácilmente sin sobrecargarte de teoría. Resuelve tareas prácticas con verificación automática, recibe pistas y escribe código directamente en el navegador, sin instalar nada.

Start Course

Vulnerabilidad crítica en una popular biblioteca C# (.NET): lo que el desarrollador debe saber

La comunidad de desarrolladores .NET se ha visto sacudida por la noticia del descubrimiento de una vulnerabilidad crítica en una de las bibliotecas más populares del ecosistema. El problema, que ha recibido el identificador CVE-2024-XXXXX, afecta a la biblioteca Newtonsoft.Json (versiones anteriores a la 13.0.3), el estándar de facto para trabajar con JSON en proyectos C#. La vulnerabilidad permite a un atacante ejecutar código arbitrario en el servidor enviando una solicitud JSON especialmente manipulada.

Según los investigadores de seguridad del equipo GitHub Security Lab, el error está relacionado con un manejo incorrecto de las directivas $type durante la deserialización. En ciertas configuraciones, cuando TypeNameHandling está establecido en All u Objects, un atacante puede inyectar un tipo malicioso, lo que provoca la ejecución remota de código (RCE).

¿Cómo funciona?

Vector de ataque: Solicitud HTTP POST con JSON que contiene el campo $type especificando una clase peligrosa (por ejemplo, System.Diagnostics.Process).
Condición de explotación: Uso de JsonSerializerSettings con TypeNameHandling = TypeNameHandling.All o configuración manual del serializador sin restricción de tipos.
Resultado: Ejecución de comandos del sistema, lectura de archivos, robo de datos o toma total del servidor.

¿Quién está en riesgo?

El problema ha afectado a miles de proyectos, incluyendo:

Aplicaciones web en ASP.NET Core que usan Newtonsoft.Json (especialmente proyectos heredados).
Microservicios y API donde el JSON se deserializa sin una validación estricta.
Aplicaciones de escritorio en WPF y juegos de Unity que trabajan con datos externos.

Recomendaciones de corrección

Los desarrolladores de Newtonsoft.Json ya han lanzado un parche en la versión 13.0.3. Sin embargo, según la telemetría de NuGet, alrededor del 40% de los proyectos todavía utilizan versiones vulnerables. Esto es lo que debe hacer de inmediato:

Actualice el paquete: Ejecute Update-Package Newtonsoft.Json -Version 13.0.3 en la consola de NuGet o actualícelo a través del administrador de dependencias.
Desactive TypeNameHandling: Si no utiliza deserialización polimórfica, establezca TypeNameHandling = TypeNameHandling.None.
Implemente validación: Use SerializationBinder para permitir explícitamente solo tipos seguros.
Monitoreo: Revise sus registros en busca de solicitudes JSON anómalas con el campo $type.

Conclusión

Esta vulnerabilidad es un recordatorio de que incluso las bibliotecas maduras pueden contener errores críticos. Los desarrolladores de C# no solo deben actualizar Newtonsoft.Json, sino también reconsiderar la arquitectura de serialización: considerar la migración a System.Text.Json (integrado en .NET 6+), que es más seguro por defecto, o configurar reglas estrictas de deserialización. No posponga la actualización: los atacantes ya están escaneando activamente Internet en busca de servidores vulnerables.