Investigadores de la firma de seguridad Wiz identificaron una vulnerabilidad de alta severidad en el software Nuclei, que fue catalogada como CVE-2024-43405 con una puntuación CVSS de 7.4.
Vulnerabilidad y alcance
Esta falla afecta a todas las versiones de Nuclei posteriores a la 3.0.0. La vulnerabilidad se origina en una discrepancia entre el proceso de verificación de firmas y el analizador YAML de Nuclei.
Causa del problema
El problema está relacionado con el manejo de caracteres de nueva línea. Un atacante puede inyectar contenido malicioso en una plantilla manteniendo una firma válida para la parte benigna.
Riesgos asociados
Se pueden crear plantillas maliciosas que ejecuten código arbitrario y accedan a datos sensibles en el sistema anfitrión. Nuclei utiliza plantillas en formato YAML para enviar solicitudes específicas y detectar vulnerabilidades.
Solución y mitigación
La ejecución de código externo se facilita mediante el protocolo 'code'. ProjectDiscovery abordó la vulnerabilidad en la versión 3.3.2, lanzada el 4 de septiembre de 2024.
Se recomienda actualizar a la versión más reciente, 3.3.7, para garantizar la seguridad de los sistemas.