Investigación de seguridad
Auditamos el software que usamos y protegemos. Cuando encontramos un fallo, lo reproducimos, lo reportamos en privado al proyecto y proponemos el arreglo.
01 — Historial
Solo aparecen los fallos ya corregidos y publicados por cada proyecto. Los que siguen en revisión no se muestran hasta que haya un arreglo.
mail-parser
mail-parser
Una cabecera Received preparada de 40 KB costaba unos 10 segundos de CPU en cualquier llamada normal de parseo. El mantenedor nos cita en las notas de la versión 4.9.0.
mailsuite
mailsuite
Un mensaje que cualquiera puede entregar en el Maildir no se podía leer, marcar como leído ni apartar, y dejaba parado el procesado de ese buzón.
parsedmarc
parsedmarc
Un único correo pequeño enviado a la dirección de informes DMARC detenía el procesado del buzón en cada vuelta hasta que alguien lo borraba a mano.
parsedmarc
parsedmarc
Un informe XML de pocos KB, sin entidades, hacía que el parser consumiera decenas de segundos de CPU y más de 1 GB de memoria.
parsedmarc
parsedmarc
Un asunto con caracteres chinos o emojis superaba el límite de bytes del sistema de ficheros (ENAMETOOLONG), bloqueaba el lote de salida y duplicaba filas en cada ejecución.
parsedmarc
parsedmarc
Los campos del informe llegaban sin filtrar al CSV, donde una hoja de cálculo podía ejecutarlos como fórmulas, y los saltos de línea del asunto permitían falsear líneas de log.
Better Auth for Convex
@convex-dev/better-auth
Los callbacks de OAuth no comprobaban la cookie de state y el token de un solo uso se añadía a cualquier redirección permitida por trustedOrigins, incluidos comodines como *.vercel.app. Permitía robar la sesión de otro usuario.
Better Auth for Convex
@convex-dev/better-auth
Las cabeceras x-better-auth-forwarded-* se restauraban para cualquier petición, así que un atacante podía elegir el host de los enlaces de restablecimiento de contraseña y verificación.
RustDesk
rustdesk
Los dos extremos de una sesión cifraban con la misma clave y el mismo contador de nonce, lo que expone el XOR de los textos en claro ante un relay o un atacante en la ruta. RustDesk ya tenía otro reporte del mismo fallo y nos trató como reportero independiente; el arreglo separa las claves por sentido.
02 — Método
Auditorías
Auditamos código, dependencias e infraestructura con el mismo método que usamos en estos reportes.
