Se ha detectado una vulnerabilidad crítica denominada “BadHost” (CVE-2026-48710) que afecta a miles de aplicaciones de inteligencia artificial. El fallo, presente en versiones de Starlette anteriores a la 1.0.1, permite a los atacantes eludir la autenticación mediante la manipulación de cabeceras HTTP. Dado que este framework es fundamental para aplicaciones basadas en FastAPI, el riesgo se extiende a servidores de inferencia de LLM, marcos de agentes y pasarelas MCP.

Una vulnerabilidad crítica recientemente revelada, rastreada como CVE-2026-48710 y apodada “BadHost”, está poniendo en riesgo a miles de aplicaciones impulsadas por IA al permitir la omisión de la autenticación mediante la manipulación de las cabeceras HTTP.

El fallo afecta a las versiones de Starlette anteriores a la 1.0.1, un marco central ampliamente utilizado en aplicaciones basadas en FastAPI que impulsan la infraestructura de IA moderna, incluidos los servidores de inferencia de LLM, los marcos de agentes y las puertas de enlace MCP.

Los investigadores de seguridad advierten que los atacantes pueden explotar este fallo para obtener acceso no autorizado a puntos finales (endpoints) de API protegidos, exponiendo modelos de IA sensibles, herramientas internas y claves de API.

La causa raíz reside en cómo Starlette construye las URL de las solicitudes concatenando la cabecera Host con la ruta de la solicitud para crear request.url.

BadHost Expone los Puntos Finales de Agentes de IA

Descubierto por X41 D-Sec durante una auditoría patrocinada por OSTIF, el problema surge del manejo inseguro de la cabecera HTTP Host.

Debido a que la cabecera Host no se sanea correctamente, los atacantes pueden inyectar valores maliciosos que alteran la forma en que la aplicación interpreta la ruta de la solicitud.

Por ejemplo, una solicitud manipulada como “GET /protected” con una cabecera “Host: example.com/health?x=” puede hacer que la aplicación trate la solicitud como si estuviera dirigida a “/health” en lugar de “/protected”.

Cuando el middleware de autenticación depende de request.url.path para aplicar los controles de acceso, esta discrepancia permite que los atacantes omitan las protecciones por completo.

Esta vulnerabilidad afecta particularmente al middleware que utiliza lógica basada en rutas para comprobaciones de autenticación y autorización, filtrado de listas blancas o negras, limitación de tasa (rate limiting) o puertas de facturación, y mecanismos de protección CSRF.

El problema abarca múltiples capas: servidores ASGI, el manejo de URLs de Starlette y el middleware escrito por el desarrollador, lo que hace que sea difícil de detectar mediante el análisis automatizado convencional.

BadHost representa una amenaza significativa para los ecosistemas de IA porque muchos servicios de IA modernos se basan en FastAPI y Starlette como su base.

Las plataformas en riesgo incluyen los servidores de proxy e inferencia vLLM y LiteLLM, los marcos de agentes de IA y backends de orquestación, los servidores y puertas de enlace MCP (Model Context Protocol), y herramientas como Ray Serve, BentoML y Google ADK-Python cuando utilizan middleware personalizado.

Los servidores MCP son especialmente vulnerables porque, por diseño, exponen puntos finales de descubrimiento OAuth no autenticados, proporcionando a los atacantes un punto de entrada predecible y fiable para la explotación.

Si se explota con éxito, BadHost puede permitir que los atacantes accedan a puntos finales de LLM restringidos, extraigan claves de API y credenciales, interactúen con herramientas internas de agentes y abusen de los recursos de computación de IA sin una autorización legítima.

Se recomienda encarecidamente a las organizaciones que implementen mitigaciones sin demora. Actualizar Starlette a la versión 1.0.1 o posterior garantiza que las cabeceras Host malformadas se manejen de forma segura, cerrando el vector de ataque principal.

Tú, como desarrollador, deberías evitar el uso de request.url.path para decisiones de seguridad y, en su lugar, confiar en mecanismos más robustos como Depends() o Security() de FastAPI para la autenticación y autorización.

Desplegar proxies inversos como Nginx, Caddy o HAProxy delante de los servidores ASGI ayuda a validar y normalizar las cabeceras Host antes de que lleguen a la aplicación, reduciendo aún más la exposición.

En los casos donde el middleware deba inspeccionar rutas, reemplazar request.url.path por scope[“path”] proporciona una base más segura para la lógica.

Los equipos de seguridad también pueden escanear sus entornos con herramientas especializadas, como las de la plataforma de automatización Nemesis, para detectar patrones vulnerables y puntos finales expuestos en toda la infraestructura de IA.

A medida que la adopción de la IA se acelera, BadHost subraya la creciente complejidad de asegurar marcos interconectados y resalta la necesidad de revisiones exhaustivas de la lógica del middleware y una validación estricta de las entradas para evitar rutas de ataque similares en el futuro.

Fuentes:
https://cybersecuritynews.com/badhost-ai-agent-vulnerability/