CVE-2023-38885

OpenSIS Classic Community Edition 9.0 se distribuye sin ninguna protección CSRF en toda la aplicación. Eso significa que toda acción que cambie el estado —crear cuentas, alterar registros, cambiar configuraciones— puede ser falsificada: si un atacante consigue que un usuario autenticado cargue una página maliciosa mientras su sesión de OpenSIS está activa, el navegador envía silenciosamente la solicitud del atacante bajo la identidad de ese usuario. Contra una sesión de administrador, eso alcanza lo que sea que el administrador pueda hacer.

La barrera es la ingeniería social, razón por la que esto depende de la interacción del usuario en lugar de ser una toma de control remota directa. Pero la ausencia de protección en toda la aplicación lo hace amplio en lugar de quirúrgico: un atacante no se limita a una sola acción falsificable, puede apuntar a cualquiera de ellas. Los sistemas de información estudiantil contienen registros sensibles de menores y son administrados por personal no especializado en seguridad, que es exactamente la población sobre la que funciona un señuelo convincente.

Como la explotación pasa por el navegador de la víctima, nuestra ventaja es la detección y el encuadre defensivo en el borde: vigilar solicitudes que cambian el estado y llegan con referrers externos o ausentes, y reforzar que los administradores mantengan las sesiones de OpenSIS separadas de la navegación general. Priorizamos las instancias donde la consola de administración es ampliamente accesible, ya que una audiencia más amplia de usuarios conectados es lo que convierte una brecha CSRF en toda la aplicación en un ataque práctico.