Se ha identificado una falla crítica de autenticación en la aplicación de escritorio de StrongDM (CVE-2026-4387) que permite a los atacantes secuestrar sesiones de usuario mediante la reutilización de material de autenticación almacenado localmente. Este fallo, descubierto por SpecterOps, podría exponer infraestructura empresarial sensible y ya ha sido corregido en la versión 23.74.0 de StrongDM Desktop y la versión 53.77.0 de su CLI.

Se ha identificado un fallo crítico de autenticación en la aplicación de escritorio de StrongDM que permite a los atacantes secuestrar sesiones de usuario mediante la reutilización de material de autenticación almacenado localmente, exponiendo potencialmente infraestructuras empresariales sensibles.

El problema, registrado como CVE-2026-4387, fue descubierto por SpecterOps durante una evaluación de seguridad y ha sido corregido en la versión 23.74.0 de StrongDM Desktop y en la versión 53.77.0 de la CLI.

La vulnerabilidad se origina en la forma en que StrongDM almacenaba los datos de sesión en el disco. Tras un inicio de sesión exitoso, la aplicación guardaba el material de autenticación en un archivo ubicado en C:\Users<username>.sdm\state.kv.

Este archivo contenía un JSON Web Token (JWT) junto con un par de claves pública y privada, todo almacenado en texto plano.

Vulnerabilidad Crítica de StrongDM

Dado que el archivo solo requería permisos de nivel de usuario para ser accedido, un atacante con acceso al sistema podría extraerlo sin necesidad de privilegios elevados.

SpecterOps demostró que este archivo de estado podía ser reutilizado para suplantar a un usuario legítimo.

Los atacantes podían copiar un archivo de estado KV de un sistema comprometido a otra máquina, permitiendo que el cliente de StrongDM se autenticara automáticamente como la víctima y accediera a los recursos de la infraestructura sin credenciales.

El ataque funcionaba de manera fiable incluso en hosts externos reemplazando el archivo tras el lanzamiento de la aplicación, saltándose las protecciones del archivo de inicio y exponiendo debilidades adicionales en el flujo de autenticación.

Un endpoint local en http://127.0.0.1:65220/v2/authentication exponía tokens JWT cuando se realizaban consultas con encabezados mínimos, y los archivos almacenados en caché, como data_1, también guardaban datos de autenticación sensibles.

La falta de vinculación entre los tokens de sesión y el entorno del host permitió la reutilización del material de autenticación en diferentes sistemas.

El impacto de esta vulnerabilidad es significativo, ya que permite el secuestro completo de la sesión sin requerir credenciales.

Los atacantes podrían acceder a bases de datos, servidores y recursos en la nube gestionados a través de StrongDM y, potencialmente, realizar movimientos laterales dentro de los entornos empresariales.

El hecho de que solo se requieran permisos de nivel de usuario reduce la barrera para la explotación, especialmente en escenarios posteriores a un compromiso inicial.

StrongDM remedió el problema eliminando el almacenamiento en texto plano de los datos de autenticación sensibles.

Las versiones actualizadas ahora utilizan mecanismos de almacenamiento seguro nativos de la plataforma, como DPAPI en Windows y Keychain en macOS.

Además, los JWT ya no se almacenan en el archivo state.KV, lo que evita su reutilización entre sistemas. La validación de seguridad confirmó que transferir archivos de sesión entre hosts ya no resulta en un acceso autenticado.

La vulnerabilidad fue reportada inicialmente en mayo de 2025, con una corrección implementada en marzo de 2026.

Según SpecterOps, el CVE-2026-4387 se reveló públicamente el 29 de mayo de 2026, seguido de una divulgación más amplia el 1 de junio de 2026.

Te recomendamos encarecidamente que actualices a las últimas versiones para mitigar cualquier riesgo potencial.

Este incidente resalta los peligros del almacenamiento inseguro de credenciales locales. Enfatiza la importancia de proteger los tokens de autenticación mediante almacenamiento seguro y una vinculación de sesión adecuada para evitar ataques de reutilización.