Explotación Activa de la Vulnerabilidad Metro4Shell (CVE-2025-11953) en React Native CLI
Introducción
A finales de diciembre de 2025, expertos en ciberseguridad han detectado la explotación activa de una vulnerabilidad crítica que afecta al Metro Development Server, componente esencial del paquete npm “@react-native-community/cli”. Esta vulnerabilidad, identificada como CVE-2025-11953 y apodada Metro4Shell, presenta un riesgo elevado para multitud de organizaciones que utilizan React Native en sus desarrollos móviles. El fallo permite la ejecución remota de código (RCE) por parte de actores no autenticados, situando a los sistemas afectados en una situación de máxima exposición frente a amenazas avanzadas.
Contexto del Incidente
El paquete “@react-native-community/cli” es ampliamente utilizado en el ecosistema JavaScript para el desarrollo multiplataforma de aplicaciones móviles. El Metro Development Server, integrado en este paquete, actúa como servidor de empaquetado y desarrollo, facilitando la recarga en caliente y la depuración. A partir del 21 de diciembre de 2025, la firma VulnCheck identificó intentos de explotación en entornos de producción, lo que confirma que la vulnerabilidad ha pasado de ser un fallo teórico a un vector de ataque real y automatizado.
Este incidente se produce en un contexto de incremento de ataques a la cadena de suministro de software, donde componentes ampliamente distribuidos y de confianza como npm se han convertido en objetivos prioritarios para los cibercriminales.
Detalles Técnicos
La vulnerabilidad CVE-2025-11953, con una puntuación CVSS de 9.8 (crítica), reside en la forma en que el Metro Development Server procesa determinadas peticiones HTTP. Un atacante remoto y no autenticado puede enviar una solicitud especialmente manipulada a este servidor, provocando la ejecución arbitraria de comandos en el sistema subyacente con los privilegios del proceso Node.js.
Entre los vectores de ataque observados, destacan:
– Inyección de comandos mediante rutas URI maliciosas.
– Manipulación de cabeceras HTTP para desencadenar cargas útiles.
– Abuso de endpoints no autenticados expuestos por defecto en configuraciones de desarrollo.
En cuanto a técnicas y tácticas, los atacantes están empleando TTPs alineadas con MITRE ATT&CK, especialmente TA0001 (Initial Access) y TA0002 (Execution), utilizando scripts automatizados y frameworks como Metasploit y Cobalt Strike para la explotación y post-explotación.
Algunos Indicadores de Compromiso (IoC) detectados incluyen:
– Peticiones HTTP anómalas a /symbolicate o /open-url.
– Descarga de cargas útiles desde dominios de reciente creación.
– Creación de procesos sospechosos (cmd.exe, bash) por parte del proceso Node.js.
Impacto y Riesgos
El impacto de Metro4Shell es significativo, ya que otorga control total del sistema a cualquier atacante remoto sin necesidad de autenticación previa. Esto puede derivar en:
– Pérdida de confidencialidad, integridad y disponibilidad de los sistemas afectados.
– Movimientos laterales hacia otros activos corporativos.
– Implantación de ransomware, cryptominers o puertas traseras persistentes.
– Exposición a incidentes de cumplimiento de regulaciones como GDPR y NIS2, con posibles sanciones económicas.
Según estadísticas preliminares, se estima que más del 70% de los proyectos basados en React Native pueden estar expuestos, dada la popularidad del paquete y la tendencia a desplegar servidores Metro en entornos menos protegidos.
Medidas de Mitigación y Recomendaciones
Para mitigar este riesgo, se recomienda:
1. **Actualizar inmediatamente** a la versión corregida de “@react-native-community/cli” (consultar el changelog oficial para versiones parcheadas).
2. **Restringir el acceso** al Metro Development Server utilizando firewalls, VPNs o redes privadas.
3. **Monitorizar logs** en busca de patrones anómalos y peticiones sospechosas.
4. **Eliminar instancias innecesarias** de servidores Metro en producción.
5. **Implementar detección de exploits** mediante reglas específicas en EDR, IDS/IPS y WAF.
6. Realizar **auditorías de seguridad** periódicas sobre los entornos de desarrollo y CI/CD.
Opinión de Expertos
Investigadores de VulnCheck y otros laboratorios de threat intelligence subrayan la importancia de tratar los entornos de desarrollo como potenciales vectores de ataque: “La frontera entre desarrollo y producción se ha diluido. Los atacantes buscan puntos de entrada poco protegidos y la exposición de herramientas como Metro Server supone un riesgo crítico”, señala un analista de VulnCheck.
Consultores de seguridad recomiendan además revisar la política de gestión de dependencias en proyectos npm, implementando controles de integridad (SCA), y fomentar la formación interna sobre secure coding.
Implicaciones para Empresas y Usuarios
Para las empresas tecnológicas y startups que basan su infraestructura en React Native, esta vulnerabilidad puede traducirse en filtraciones de datos sensibles de usuarios, interrupciones del servicio y daños reputacionales. Los responsables de seguridad (CISO, SOC, DevSecOps) deben priorizar la gestión de este incidente, revisar la exposición de servidores de desarrollo y aplicar medidas de contención inmediatas.
A nivel de cumplimiento, el riesgo de no tomar medidas podría derivar en sanciones bajo el RGPD y la inminente entrada en vigor de NIS2, que refuerza la responsabilidad sobre la cadena de suministro de software.
Conclusiones
El caso de Metro4Shell (CVE-2025-11953) es un recordatorio de la criticidad de proteger los entornos de desarrollo y las dependencias de código abierto. La explotación activa demuestra que los atacantes están al tanto de estas oportunidades y actúan rápidamente. Es imperativo que las organizaciones reaccionen con diligencia, actualicen sus sistemas, refuercen la monitorización y adopten una estrategia de seguridad integral que abarque todo el ciclo de vida del software.
(Fuente: feeds.feedburner.com)