grpc-go · Open Source VRP
Un bypass de autenticación en el motor RBAC de xDS de gRPC: el authenticatedMatcher caía desde el URI/DNS SAN al Subject DN del certificado. Corregido por Google y acreditado en las notas de versión.
Alan
Ortega
Álamo
Ciberseguridad
grpc-go CVSS 7.5 Corregido en v1.81.1
Disponible para roles junior de seguridad · Madrid / remoto
00
El fallthrough
Una comprobación de autorización debería denegar cuando no coincide. Esta seguía buscando. Probó el URI SAN, luego el DNS SAN, y luego el Subject DN del certificado — y el Subject DN la dejó pasar.
Esto es el hallazgo, dibujado. Nada más en esta web es rojo.
URI SAN DNS SAN Subject DN
01
Hallazgos
protobuf-go · merged upstream
El RecursionLimit de prototext se saltaba silenciosamente en la ruta de descarte de campos desconocidos: skipValue y skipMessageValue se llamaban recursivamente sin decrementarlo, así que mensajes desconocidos muy anidados abortaban el proceso con un desbordamiento de pila del que Go no se puede recuperar. Reporté el fallo y escribí el parche, integrado tras la revisión de los mantenedores de protobuf-go.
Microsoft
Azure msi-acrpull · MSRC
El campo del servidor ACR de un AcrPullBinding no se limitaba a dominios de registro de confianza, así que el controlador podía enviar su token de Azure (ARM) a un endpoint controlado por un atacante. Confirmado por MSRC y corregido validando el servidor contra los sufijos de ACR permitidos.
NVIDIA
PSIRT · Public Bug Bounty
Retenido hasta que el fabricante publique.
Los reportes abiertos se quedan en fabricante, severidad y estado. Sin componente, sin clase de vulnerabilidad, sin identificador, sin importe de recompensa.
02
La acreditación
Cualquiera puede decir que encontró algo. Esta es la parte que no se puede reclamar: mi crédito, en las notas de versión del arreglo, publicadas por Google.
xds/rbac: Corrige un posible bypass de autorización causado por caer incorrectamente desde los SAN de URI/DNS al Subject Distinguished Name (DN) al comparar el nombre del principal autenticado. Con este arreglo solo se usará la primera fuente de identidad no vacía, según la gRFC A41. (#9111)
Special Thanks: @al4an444
03
Caso de estudio
Al controlador de dominio del centro de FP donde estudiaba le faltaban las actualizaciones de agosto de 2020. Demostré el impacto, paré en la prueba, no guardé datos, lo reporté de inmediato y trabajé con el centro para remediarlo y endurecer el entorno.
04
Quién
Veintiún años, autodidacta, disponible para trabajar desde Madrid o en remoto.
Nadie me encargó nada de esto. Simplemente es lo que me gusta.
- Formación
- CFGS Administración de Sistemas Informáticos en Red (ASIR) ILERNA Online · 2025 — 2027, en curso
- Formación
- CFGM Sistemas Microinformáticos y Redes (SMR) Completado · 2023 — 2025
- Experiencia
- Soporte técnico MOMPALAO, Malta · mar — may 2025
- Experiencia
- Trabajo de temporada mientras estudiaba Slagharen Theme Park (NL) · El Corte Inglés (ES) · nov 2024 — ago 2025
- Certificaciones
- Introduction to the Threat Landscape 3.0 Fortinet Training Institute · Apr 2026 Introduction to Cybersecurity Cisco Networking Academy · Apr 2026
05
Construido
01
phishguard
Python · FastAPI · scikit-learn
Detector de phishing explicable para URLs y correos: reglas heurísticas más un modelo de ML, con CLI, API REST e interfaz web. Todo se ejecuta en local.
GitHub
02shutdown-restore
C++ · Servicio de Windows
Servicio de Windows en C++ que crea un punto de restauración del sistema al apagar, saltándose el límite de 24 h y rotando las copias antiguas.
GitHub
03ghosttalk
TypeScript · React · Supabase · Web Crypto API
Aplicación de chat cifrada de extremo a extremo (E2EE) y de conocimiento cero, construida con React, Supabase y la Web Crypto API.
GitHub
06
Contrátame
Busco un puesto junior en seguridad de aplicaciones, investigación de vulnerabilidades o ingeniería de seguridad.