node-serialize — CVE-2017-5941

Nota: Este documento es solo con fines defensivos y educativos. No incluye instrucciones para crear exploits o RCE.

Resumen: node-serialize (0.0.4 y versiones antiguas similares) puede suponer un riesgo debido a la deserialización no confiable: valide siempre los datos de entrada antes de llamar a unserialize().

Detección: busque serialize.unserialize() o node-serialize en el código. Compruebe en cookies/parámetros decodificados en base64 la presencia de _$$ND_FUNC$$_, function( o eval(.

Mitigación (rápida):

• Deje de usar node-serialize; utilice JSON.parse/JSON.stringify.
• Valide los datos de entrada con un esquema estricto (ajv/joi).
• Elimine eval y la ejecución dinámica de código.
• Ejecute el proceso de Node con privilegios mínimos y restrinja la salida (egress) de red.

Prueba (inofensiva): envíe únicamente JSON en base64 benigno (sin funciones ni comandos de shell); pruebe solo con autorización.

Contacto / Más información: si lo necesita, puedo preparar un script de CI, un middleware de Express o una parte de un incident-playbook.