Vulnerabilidad en MobSF (CVE-2025-46730)

MobSF es una herramienta de pruebas de seguridad para aplicaciones móviles. Normalmente, MobSF se implementa en servidores centralizados internos o en la nube que también alojan otras herramientas de seguridad y aplicaciones web. El acceso a la interfaz web de MobSF suele concederse a equipos de seguridad internos, equipos de auditoría y proveedores externos. MobSF ofrece una función que permite a los usuarios cargar archivos ZIP para análisis estático. Tras la carga, estos archivos ZIP se extraen y almacenan automáticamente en el directorio de MobSF. Sin embargo, en versiones hasta la 4.3.2 incluida, esta función carece de una comprobación del tamaño total sin comprimir del archivo ZIP, lo que lo hace vulnerable a un ataque ZIP de la Muerte (bomba zip). Debido a la ausencia de protecciones contra extracciones de gran tamaño, un atacante puede crear un archivo ZIP especialmente preparado que, aunque pequeño en su forma comprimida, se expande enormemente al extraerlo. Aprovechando esto, un atacante puede agotar el espacio de disco del servidor, lo que provoca una denegación de servicio (DoS) completa no solo para MobSF, sino también para cualquier otra aplicación o sitio web alojado en el mismo servidor. Esta vulnerabilidad puede provocar la interrupción total del servidor de una organización, lo que puede afectar también a otros portales y herramientas internos (alojados en el mismo servidor). Si una organización ha creado su herramienta de seguridad móvil personalizada en la nube utilizando el núcleo de MobSF, un atacante puede explotar esta vulnerabilidad para bloquear sus servidores. El commit 6987a946485a795f4fd38cebdb4860b368a1995d corrige este problema. Como mitigación adicional, se recomienda implementar una protección que verifique el tamaño total sin comprimir de cualquier archivo ZIP subido antes de la extracción. Si el tamaño estimado sin comprimir supera un umbral seguro (p. ej., 100 MB), MobSF debería rechazar el archivo y notificar al usuario.