Vulnerabilidad de Axios CVE-2026-40175: Riesgos para AWS

Vulnerabilidad crítica en Axios amenaza infraestructuras en la nube mediante cadena de ataque

Las versiones de Axios anteriores a la 1.15.0 contienen una vulnerabilidad crítica, CVE-2026-40175, que permite a los atacantes ejecutar código de forma remota y comprometer recursos de AWS mediante la contaminación de prototipos. Ya existen pruebas de concepto (PoC) públicas y se ha lanzado un parche: es fundamental actualizar inmediatamente a todos los usuarios.

Mecanismo de explotación y riesgos

La vulnerabilidad surge de una validación insuficiente de los caracteres CR y LF en el método AxiosHeaders.set. Esto permite la inyección CRLF cuando propiedades contaminadas del prototipo de Object se pasan a cabeceras HTTP sin filtrado.

La cadena de ataque suele comenzar comprometiendo dependencias como qs, minimist o body-parser. Una vez que Object.prototype está contaminado, Axios hereda estas propiedades dañinas, lo que provoca la inyección maliciosa de cabeceras y la división de solicitudes HTTP. Como resultado, los atacantes pueden acceder al Servicio de Metadatos de Instancia de AWS en 169.254.169.254.

Impacto en entornos en la nube:

• Obtención de tokens temporales de IAM mediante solicitudes PUT.
• Escalada de privilegios en toda la infraestructura.
• Compromiso total de microservicios y contenedores.

La vulnerabilidad es amplia: aproximadamente el 39 % de las 20.000 instancias activas escaneadas en internet de habla rusa son vulnerables, y la cifra real podría ser mayor debido al uso oculto en servicios backend.

Indicadores de compromiso

El monitoreo de registros puede ayudar a detectar ataques tempranamente. Las principales señales de alerta incluyen:

• Solicitudes PUT anómalas dirigidas a 169.254.169.254.
• Manipulación de __proto__ o constructor.prototype en cabeceras.
• Presencia de secuencias CRLF como %0d%0a o \r\n en solicitudes.
• Uso no autorizado de tokens IAM desde direcciones IP inesperadas.
• Errores en el análisis de cabeceras y respuestas HTTP 500 en aplicaciones Node.js.

Medidas de mitigación y contexto

La contaminación de prototipos (Prototype Pollution) es una técnica bien conocida que explota la naturaleza dinámica de JavaScript. En el ecosistema npm, vulnerabilidades en bibliotecas ampliamente utilizadas como Axios (con más de 60 millones de descargas semanales) representan riesgos sistémicos para millones de aplicaciones.

Causas raíz: Falta de validación estricta de entradas en cabeceras HTTP. Esto refleja desafíos más amplios en la cadena de suministro de software, donde las dependencias de terceros se propagan silenciosamente.

Impacto en la industria: Una puntuación CVSS 3.1 de 9.9–10.0 subraya la gravedad para proveedores de nube. Incidentes previos como Log4Shell demostraron cómo fallos locales pueden escalar a amenazas globales.

Acciones recomendadas:

• Actualice inmediatamente a Axios 1.15.0, que incluye verificaciones assertValidHeaderValue.
• Audite sus dependencias usando npm audit y herramientas SCA.
• Restrinja el acceso al IMDS mediante políticas de red y Grupos de Seguridad.
• Configure reglas de WAF para bloquear patrones sospechosos.

Conclusiones clave

• La falla permite RCE mediante contaminación de prototipos e inyección CRLF, poniendo en peligro directamente cargas de trabajo en AWS.
• Afecta a todas las versiones anteriores a la 1.15.0; los PoC públicos están disponibles desde el 10 de abril de 2026.
• El 39 % de los servidores escaneados sigue expuesto: subestimar el riesgo es peligroso.
• Existe un parche, pero requiere verificación completa de toda la cadena de dependencias.
• Implicación más amplia: refuerza la necesidad de arquitecturas de confianza cero en entornos en la nube.

— Editorial Team