CVE-2024-0195 Control Inadecuado de la Generación de Código ('Inyección de Código')

Resumen

CVE-2024-0195 es una vulnerabilidad crítica de inyección de código en la aplicación web spider-flow 0.4.3, específicamente en la función FunctionService.saveFunction del archivo FunctionController.java. Un atacante puede inyectar código malicioso de forma remota que se ejecuta en el servidor. Esto permite comprometer completamente la aplicación.

Impacto

Esta vulnerabilidad es extremadamente grave ya que permite la ejecución remota de código en el servidor que aloja la aplicación spider-flow vulnerable. Un atacante podría comprometer completamente el servidor, robar datos sensibles, instalar malware o criptomineros, y usarlo para ataques adicionales dentro de la red. La confidencialidad, integridad y disponibilidad de la aplicación y el servidor se ven críticamente afectadas.

Parche

No se menciona explícitamente una versión parcheada, por lo que actualmente parchear no parece ser una opción. La vulnerabilidad fue divulgada públicamente y existen exploits disponibles, por lo que la mitigación inmediata es crítica.

Mitigación

Hasta que se publique un parche oficial, spider-flow 0.4.3 debe ser puesto fuera de línea inmediatamente o restringir el acceso solo a redes/usuarios de confianza. Los firewalls de aplicaciones web u otros controles de validación de entrada podrían configurarse para detectar y bloquear intentos de inyección de código como mitigación provisional. Sin embargo, estas no son soluciones completas y la versión vulnerable debe actualizarse tan pronto como esté disponible una versión corregida.