Problemas de seguridad en un mensajero basado en Tor
Cwtch reconoció mis informes en su versión de seguridad 1.17.2. Las correcciones cubren permisos de contacto y rutas de denegación de servicio en varias funciones experimentales.
Noir0x63 / Investigación de seguridad
Eduardo
Camarillo
Investigador de AppSec
Trabajo en AppSec: investigo fallos de autorización, lógica de negocio y criptografía aplicada mediante revisión de código, modelado adversarial y verificación dirigida.
Investigación ↓01 / AppSec
Evaluaciones de seguridad
de aplicaciones.
Aquí se agrupa el trabajo de AppSec: divulgaciones públicas y evaluaciones autorizadas, vinculadas a un sistema revisado, un rastro de evidencia y un estado de remediación.
Exposición de política del relay y de la página de reclamación
El proyecto me reconoce por informar de un bypass de política IPv4-mapped IPv6 y de una página de reclamación expuesta en el listener de salud. Ambos problemas se corrigieron en v0.5.3.
Evaluación independiente de seguridad del cliente
Revisión del código del cliente web público, del paquete criptográfico compartido y del shell Tauri. El proyecto reconoce la revisión y registra sus propias decisiones de remediación.
Límite de confianza del callback OAuth de GitHub
El aviso público registra la vulnerabilidad y el crédito del investigador Noir0x63. Describe un fallo de solicitud del lado servidor no autenticada en el callback de integración con GitHub, seguido de un pull request correctivo y pruebas de regresión.
Vincular los pagos con la parte correcta
Revisé la validación de liquidaciones, los destinos de pago de comerciantes y el manejo de claves de custodia. Los hallazgos enlazan a avisos públicos.
Autorización y carga de módulos
Combiné revisión de código con verificación HTTP aislada de políticas RLS, solicitudes del lado servidor y el límite de módulos del daemon.
¿Quién puede unirse a una conversación?
Revisé la autorización de participantes, la seguridad a nivel de fila de Supabase y la arquitectura del chat cifrado. Los hallazgos incluyen una política que permitía a un usuario autenticado añadirse a otra conversación y una política de lectura de usuarios que exponía datos fuera de su límite previsto.
Contenido renderizado y límites de API de pago
La revisión de código y la verificación dirigida encontraron contenido de feeds llegando a páginas públicas sin escape suficiente, permitiendo ejecución de scripts almacenados, y endpoints proxy sin límites adecuados sobre el uso de APIs externas de pago.
Límites de facturación, restablecimiento y escritorio
Una revisión independiente identificó RPCs de asignación de planes sin los controles de autorización previstos, un flujo de restablecimiento de contraseña insuficientemente vinculado al contexto de reset y problemas de distribución de escritorio. La verificación dinámica quedó fuera del alcance completado; el cliente permanece anonimizado.
03 / Trabajo adicional
Registros de investigación.
Investigación de protocolo de privacidad
Especificación de investigación sobre transporte asíncrono, descubrimiento privado y modelos adversariales. No se presenta como un protocolo listo para producción.
Registros de protocolo e implementación
Trabajo fechado sobre derivación de claves, límites de endpoints, arquitectura de aplicaciones y revisión de seguridad. Estos documentos describen estados históricos.
Límites de confianza de la aplicación
Seis registros fechados cubren la arquitectura de la plataforma de discusión, retos de registro, validación de nonce y estado, pruebas de seguimiento y hardening. Documentan las versiones revisadas y no afirman un estado de despliegue actual.
Evaluaciones de AppSec
Revisión de código y verificación de autorización, lógica de negocio y criptografía aplicada dentro de un alcance acordado. Los entregables incluyen evidencia, impacto, discusión de remediación y reprueba de las correcciones acordadas. La versión, el acceso, las exclusiones y el calendario se documentan antes de comenzar.
03 / Contacto
Contacto.
Para evaluaciones de seguridad autorizadas, colaboración de investigación y divulgación responsable.
[email protected]