Escáner de Internet n8n CVE-2025-68613

Una herramienta GUI basada en Tkinter para descubrir instancias n8n expuestas públicamente a través de Shodan y probar su exposición a CVE‑2025‑68613 en un amplio rango de versiones.

El escáner:

• Consulta Shodan con múltiples huellas (título, marcadores HTML, favicons, organizaciones en la nube) para encontrar hosts n8n probables en puertos comunes (p. ej. 5678).
• Se conecta a los candidatos y sondea endpoints clave: /, /login, /workflow, /rest/healthz.
• Intenta extraer la versión de n8n en ejecución del HTML/JS usando varias heurísticas.
• Clasifica cada host como VULNERABLE, SEGURO, DESCONOCIDO o FALLIDO según la versión y la conectividad.
• Almacena todos los resultados en una base de datos SQLite local y ofrece exportación CSV.

⚠️ Aviso legal
Esta herramienta está destinada a la investigación en seguridad, educación y pruebas de sistemas que poseas o para los que tengas autorización explícita.
Escanear hosts aleatorios en Internet puede violar leyes o términos de servicio en tu jurisdicción.
Úsala de manera responsable y bajo tu propio riesgo.

---

Características

• Interfaz gráfica construida con Tkinter (sin necesidad de argumentos CLI).
• Integración con Shodan con muchas consultas personalizadas (título, hashes de favicon, firmas HTML, filtros de proveedores en la nube, etc.).
• Escaneo concurrente usando ThreadPoolExecutor y colas de trabajo para alto rendimiento.
• Panel de endpoints:
  • Muestra las instancias descubiertas (IP, país, versión, vulnerable SÍ/NO).
  • Tabla de resultados detallada: hora, IP:Puerto, versión, estado, endpoints, país.
• Seguimiento robusto de estado: contadores de descubiertos/probados/vulnerables/fallidos con actualizaciones en vivo.
• Backend SQLite (n8n_results.db) que almacena hosts y resultados de pruebas por escaneo.
• Exportación CSV de todos los resultados del escaneo para análisis fuera de línea.

---

Instalación

Requisitos previos

• Python 3.9+ (probado con 3.10).[
• Una cuenta de Shodan y una cookie de navegador válida para www.shodan.io (cookie polito).[file:23]
• Conectividad de red que permita HTTP saliente a posibles hosts n8n (normalmente puerto 5678).

Clonar el repositorio y ejecutar la interfaz

• https://github.com/manyaigdtuw/CVE-2025-68613_Scanner.git
• python n8n_Scanner_cve68613.py

Controles de escaneo (panel izquierdo)

• Modo
  • Shodan: buscar hosts expuestos a Internet usando consultas de Shodan.
  • Scan IP range: reservado para trabajo futuro (actualmente usa lógica de productor estilo Shodan; mantén Shodan seleccionado)
• Hilos: número de trabajadores consumidores paralelos (predeterminado: 20).
• Cookie de Shodan: pega el valor de tu cookie polito desde las herramientas de desarrollador del navegador (Dominio: www.shodan.io).

Luego presiona Iniciar escaneo. Para detener el escaneo, presiona Detener; la herramienta terminará de procesar las tareas en curso y actualizará las estadísticas.

Entendiendo los estados

Por host, la columna “Estado” puede ser:

• VULNERABLE – la versión está dentro del rango de CVE‑2025‑68613 (≥ 0.211.0 y < 1.122.0).
• SEGURO – la versión se analizó correctamente pero está fuera de la ventana vulnerable.
• DESCONOCIDO – el host respondió pero no se pudo extraer la versión de manera confiable del HTML/JS.
• FALLIDO – el escáner no pudo alcanzar el host en absoluto (TCP rechazado / tiempo de espera agotado / otro error).

El resumen de “Endpoints” muestra una vista compacta de los primeros endpoints y sus códigos de estado HTTP, por ejemplo:

/:200; /login:200; /workflow:200.

Base de datos y exportación

• Los resultados se almacenan en n8n_results.db con dos tablas:
  • n8n_hosts: una fila por IP, con atributos de última vez visto.
  • n8n_test_results: resultados por prueba que incluyen estado y endpoints JSON.[file:23]
• Haz clic en Exportar resultados para escribir todos los resultados en un archivo CSV de tu elección, incluyendo marcas de tiempo, IP, puerto, país, versión, estado, indicador de vulnerable y endpoints JSON sin procesar.[file:23]

---

Detalles de configuración

Las constantes clave en la parte superior del script (clase N8nScanner.__init__) controlan el comportamiento:

• BASE_URL, FACET_URL: endpoints de búsqueda de Shodan.
• DEFAULT_PORT: puerto predeterminado de n8n (5678).
• CONNECTION_TIMEOUT: tiempo de espera HTTP en segundos (predeterminado 15).
• MAX_WORKERS: número de hilos consumidores.
• VULN_MIN_VERSION, VULN_MAX_VERSION: límites de versión para CVE‑2025‑68613.
• max_debug_html: cuántas instantáneas HTML guardar para depuración.

Las consultas de Shodan incluyen hashes de favicon, firmas HTML, filtros de proveedores en la nube y cadenas específicas de n8n para mejorar la tasa de aciertos.

---