Ejecución remota de código (RCE): cómo se llega y cómo se evita

Qué es

Una ejecución remota de código (RCE, Remote Code Execution) significa que el atacante consigue que el servidor, o el programa de la víctima, ejecute instrucciones suyas. Es casi siempre el escenario más grave: desde ahí se pueden leer datos, robar credenciales o moverse a otros sistemas.

Rara vez es un fallo aislado. Suele ser el final de una cadena que empieza con otra vulnerabilidad.

Vías habituales

• Inyección de comandos: un dato del usuario acaba en una orden del sistema (ping, convert, git…) sin separarse de ella.
• Deserialización insegura: la aplicación reconstruye objetos a partir de datos que controla el atacante (por ejemplo con pickle en Python, la serialización nativa de Java o unserialize en PHP).
• Inyección de plantillas en el servidor (SSTI): el texto del usuario se procesa como plantilla en lugar de como dato.
• Subida de ficheros: un fichero ejecutable que el servidor guarda en una ruta desde la que lo interpreta.
• Dependencias vulnerables: librerías o servicios con fallos conocidos que no se han actualizado.
• Procesado de ficheros: imágenes, documentos o archivos comprimidos tratados por programas con fallos de memoria.

Cómo se busca

1. Identifica dónde la aplicación llama a programas externos, procesa ficheros o convierte formatos.
2. Revisa las versiones de software expuestas y busca fallos públicos que les afecten.
3. Prueba entradas con separadores de comandos o sintaxis de plantillas y observa si el resultado cambia.
4. Para demostrarlo usa una orden inocua que pruebe la ejecución sin tocar nada, como id o una petición a un servidor propio.

Antes de ir más allá, lee las reglas del programa: muchos piden detenerse en cuanto la ejecución queda demostrada.

Cómo se evita

• No llamar al intérprete de órdenes con datos del usuario. Usar APIs que pasen los argumentos por separado.
• No deserializar datos no confiables con formatos que puedan crear objetos arbitrarios. Preferir JSON con un esquema fijo.
• Guardar los ficheros subidos fuera de rutas ejecutables y con nombres generados por el servidor.
• Mantener las dependencias al día y ejecutar los servicios con los mínimos privilegios, aislados del resto.

Al reportarlo

Una prueba mínima y limpia vale más que una demostración espectacular. Explica la cadena completa y qué privilegios obtiene el código ejecutado.