Envenenamiento de Caché: Cómo tu CDN puede servir contenido malicioso a todos 🗄️

Introducción: El peligro oculto en tu infraestructura de caché

Las Redes de Entrega de Contenido (CDNs) y las cachés web son la columna invisible de Internet hoy en día, haciendo que los sitios carguen más rápido y reduciendo la carga en los servidores. Sin embargo, estos sistemas de mejora de rendimiento albergan una vulnerabilidad crítica que los atacantes pueden explotar para servir contenido malicioso a miles o incluso millones de usuarios simultáneamente. Bienvenido al mundo del envenenamiento de caché—un vector de ataque sofisticado que transforma tu CDN confiable en un arma contra tus propios usuarios.

Los ataques de envenenamiento de caché manipulan los mecanismos de caché en los que confían los sitios web, engañándolos para almacenar y distribuir respuestas maliciosas. A diferencia de los ataques tradicionales dirigidos a usuarios individuales, el envenenamiento de caché permite que una sola solicitud maliciosa envenene el contenido para todos los visitantes posteriores, creando un efecto multiplicador que hace estos ataques particularmente devastadores.

Entendiendo la arquitectura de la caché web

Antes de profundizar en los ataques, es esencial entender cómo funciona la caché web. Cuando un usuario solicita un recurso de un sitio, la solicitud generalmente pasa por varias capas:

1. El navegador del cliente: realiza la solicitud inicial
2. La capa de CDN/caché: servidores intermedios distribuidos globalmente
3. El servidor de origen: el servidor web que aloja tu aplicación

Las CDNs usan claves de caché para comparar nuevas solicitudes con recursos en caché, determinando si el contenido debe servirse desde la caché o solicitarse al servidor de origen. Esta optimización mejora significativamente el rendimiento, pero también crea oportunidades para que los atacantes manipulen qué se almacena y qué se sirve.

La caché opera bajo un principio simple: almacenar recursos estáticos solicitados con frecuencia localmente para evitar consultar repetidamente al servidor de origen. Esto reduce la latencia y la carga del servidor, pero la efectividad del sistema depende completamente de identificar correctamente qué debe y qué no debe almacenarse en caché.

Envenenamiento de caché: los fundamentos

¿Qué es el envenenamiento de caché?

El envenenamiento de caché usa una solicitud HTTP para engañar a un servidor web de origen y responder con un recurso dañino que comparte la misma clave de caché que una solicitud legítima, causando que el recurso envenenado se almacene en caché y se sirva a otros usuarios. El ataque explota discrepancias en cómo diferentes componentes de la infraestructura de caché interpretan y procesan las solicitudes.

El ataque funciona debido a una suposición fundamental en los sistemas de caché: que los recursos con la misma clave de caché siempre devolverán el mismo contenido. Los atacantes explotan esto creando solicitudes que evaden los mecanismos de validación de caché pero que aún coinciden con la clave de caché de solicitudes legítimas.

Cómo funciona el envenenamiento de caché

El patrón típico de un ataque de envenenamiento de caché sigue estos pasos:

1. Reconocimiento: el atacante identifica cómo el sistema de caché genera las claves y qué parámetros considera
2. Creación de la carga útil: se construye una solicitud maliciosa que será almacenada bajo una clave de caché legítima
3. Inyección en la caché: el atacante envía la solicitud creada, causando que la respuesta maliciosa se almacene en la caché
4. Distribución masiva: todos los usuarios posteriores que soliciten ese recurso reciben el contenido envenenado

La belleza (desde la perspectiva del atacante) y el peligro (desde la perspectiva del defensor) del envenenamiento de caché radica en su escalabilidad. Un intento exitoso puede afectar a miles de usuarios hasta que la caché expire o se purgue manualmente.

Denegación de servicio por envenenamiento de caché (CPDoS)

La evolución del envenenamiento de caché

Los ataques de Denegación de Servicio por envenenamiento de caché (CPDoS) funcionan provocando un error en el servidor de origen que no es detectado por el sistema de caché intermedio, causando que la caché se envenene con la página de error generada por el servidor y dejando el servicio víctima indisponible. Esta variante del ataque representa una evolución significativa en las técnicas de explotación de caché.

Tres métodos principales de ataque CPDoS

La investigación ha identificado tres vectores principales de ataque CPDoS:

1. Ataques de encabezados excesivos (HHO): envían solicitudes HTTP con encabezados sobredimensionados que la CDN acepta pero el servidor de origen rechaza. Funciona enviando solicitudes con encabezados grandes que pasan por la CDN pero causan errores en el servidor de origen, y la página de error se almacena en caché.

2. Ataques de caracteres meta (HMC): explotan diferencias en cómo la CDN y el servidor de origen manejan caracteres especiales en los encabezados HTTP. Los caracteres meta aceptables para la caché que causan errores de análisis en el servidor de origen generan páginas de error que se almacenan en caché.

3. Ataques de anulación del método HTTP (HMO): manipulan encabezados de anulación del método HTTP, haciendo que el servidor de origen rechace solicitudes que la caché considera válidas.

Impacto real del CPDoS

En un estudio exhaustivo de quince soluciones de caché web, los investigadores identificaron un producto de caché proxy y cinco servicios de CDN vulnerables a CPDoS, incluyendo soluciones prominentes que almacenan sitios web de alto valor. Las consecuencias son severas: una sola solicitud maliciosa puede paralizar un sitio web en grandes regiones geográficas.

Cuando se inyecta una página de error, la CDN la distribuye a muchas ubicaciones de servidores de caché en todo el mundo, con ataques desde Frankfurt, Alemania, afectando regiones en Europa y partes de Asia. Esto demuestra el alcance global que los atacantes pueden lograr con un esfuerzo mínimo.

Engaño de caché web: robo de datos privados

Mientras que el envenenamiento de caché se enfoca en distribuir contenido malicioso, el engaño de caché web representa un vector de ataque diferente pero igualmente peligroso que explota los mecanismos de caché para robar datos sensibles de los usuarios.

Entendiendo el engaño de caché web

El engaño de caché web explota las reglas de caché para engañar a la caché y que almacene contenido sensible o privado, que el atacante puede acceder luego explotando discrepancias en cómo el servidor de caché y el servidor de origen manejan las solicitudes. Este ataque no requiere envenenar la caché con contenido malicioso; en cambio, engaña a la caché para que almacene contenido que no debería.

El mecanismo del ataque

En un ataque de engaño de caché web, un atacante persuade a una víctima para visitar una URL maliciosa que induce al navegador de la víctima a hacer una solicitud ambigua para contenido sensible, con la caché interpretando esto como una solicitud para un recurso estático y almacenando la respuesta.

Aquí un ejemplo práctico:

1. Existe una página de perfil de usuario legítima en https://example.com/my_profile
2. El atacante crea una URL: https://example.com/my_profile/fake.css
3. La víctima hace clic en este enlace mientras está autenticada
4. El servidor de origen ignora el fake.css inexistente y sirve la página de perfil
5. La caché ve la extensión .css y almacena la respuesta como un archivo estático
6. El atacante solicita la misma URL y recibe los datos privados almacenados en caché

El atacante puede entonces solicitar la misma URL para acceder a la respuesta almacenada, obteniendo acceso no autorizado a información privada.

Explotación de reglas de caché

Los ataques de engaño de caché explotan diferentes tipos de reglas, incluyendo reglas de extensión de archivos estáticos que coinciden con extensiones como .css o .js, reglas de directorios estáticos que coinciden con rutas URL que comienzan con prefijos específicos como /static o /assets, y reglas de nombres de archivos que coinciden con archivos específicos como robots.txt y favicon.ico.

Vulnerabilidades recientes y estudios de caso

Envenenamiento de caché en Next.js (CVE-2025-49826)

Una vulnerabilidad crítica descubierta en las versiones 15.1.0 a 15.1.8 de Next.js involucra un bug de envenenamiento de caché que podría llevar a una Denegación de Servicio cuando se usan rutas con Regeneración Estática Incremental (ISR) o rutas de Renderizado del lado del servidor (SSR) combinadas con una CDN configurada para cachear respuestas HTTP 204.

Cuando se cumplen estas condiciones, una respuesta 204 No Content podría ser almacenada erróneamente en caché para páginas estáticas, resultando en que todos los usuarios que intenten acceder a la página reciban una respuesta en blanco 204 y causando un apagón del servicio. Esta vulnerabilidad recibió una puntuación CVSS de 7.5, indicando alta gravedad.

Envenenamiento de caché DNS en BIND 9 (CVE-2025-40778)

La infraestructura DNS, que sustenta toda la comunicación en Internet, también ha sido afectada por vulnerabilidades de envenenamiento de caché. CVE-2025-40778 afecta a más de 706,000 resolutores BIND 9 expuestos en todo el mundo, con una puntuación CVSS de 8.6, explotando una falla lógica que acepta y almacena registros de recursos no parte de la consulta original.

La vulnerabilidad afecta a versiones de BIND 9 desde 9.11.0 hasta 9.16.50, 9.18.0 a 9.18.39, 9.20.0 a 9.20.13, y 9.21.0 a 9.21.12, permitiendo a los atacantes inyectar registros falsos de direcciones que apuntan a infraestructura controlada por el atacante.

Una vez envenenados, los cachés pueden redirigir maliciosamente a los clientes finales durante horas o días dependiendo de los valores TTL, llevando a ataques de phishing, interceptación de datos o interrupciones del servicio.

Análisis técnico profundo: manipulación de claves de caché

Entendiendo las claves de caché

Las claves de caché son los identificadores que usan los sistemas de caché para almacenar y recuperar contenido. Normalmente incluyen:

• La ruta URL
• Parámetros de la cadena de consulta (a veces)
• La cabecera host
• Cabeceras de solicitud específicas (varía según configuración)

El problema surge cuando hay una discrepancia entre lo que la caché considera parte de la clave y lo que el servidor de origen usa para generar su respuesta. Esta discrepancia crea una oportunidad para que los atacantes creen solicitudes que:

1. Coincidan con la clave de caché de solicitudes legítimas
2. Provocan comportamientos diferentes en el servidor de origen
3. Causen que contenido no deseado sea almacenado en caché

Entradas sin clave: la mejor amiga del atacante

Muchos sistemas de caché no incluyen todas las cabeceras HTTP en sus claves de caché. Estas “entradas sin clave” pueden ser manipuladas por los atacantes sin afectar la clave de caché, lo que significa que la respuesta envenenada se almacena bajo la misma clave que las solicitudes legítimas.

Las entradas sin clave comunes incluyen:

• Cabecera User-Agent
• Cabecera Accept-Language
• Valores de cookies
• Cabeceras personalizadas de la aplicación
• Encabezados de anulación del método HTTP

Los atacantes prueban sistemáticamente estas entradas para encontrar las que: - No están incluidas en la clave de caché - Influyen en la respuesta del servidor de origen - Pueden ser explotadas para inyectar contenido malicioso

Cómo defenderse contra el envenenamiento y engaño de caché

Configuración del servidor de origen

Las organizaciones deben revisar su configuración de caché y asegurarse de que solo almacenan archivos estáticos que no dependan de la entrada del usuario de ninguna manera. Este principio fundamental elimina muchas vías de ataque.

Mejores prácticas para la configuración del origen:

1. Manejo estricto de rutas: Configura tu aplicación para rechazar solicitudes con rutas inexistentes en lugar de ignorar componentes de la ruta
2. Encabezados Cache-Control adecuados: Siempre establece encabezados Cache-Control que indiquen explícitamente qué debe y qué no debe almacenarse en caché
3. Validación de Content-Type: Asegúrate de que las respuestas incluyan encabezados Content-Type precisos que coincidan con el tipo de recurso solicitado

Protecciones en la capa de caché

La mitigación más efectiva es desactivar la caché de páginas de error en la configuración de caché, con CDNs como CloudFront y Akamai que ofrecen configuraciones para ello.

Directrices de configuración de CDN:

1. Desactivar caché de páginas de error: Configura tu CDN para que nunca almacene respuestas de error (códigos 4xx y 5xx)
2. Respetar Cache-Control: Asegúrate de que la CDN respete los encabezados Cache-Control del servidor de origen
3. Verificación de Content-Type: Implementa verificaciones que aseguren que el Content-Type coincide con la extensión URL antes de almacenar en caché

Despliegue de Firewall de Aplicaciones Web (WAF)

Un WAF puede desplegarse para mitigar ataques CPDoS, pero debe colocarse delante de la caché para bloquear contenido malicioso antes de que llegue al servidor de origen. Los WAFs detrás de la caché aún pueden ser explotados para generar páginas de error que se almacenen en caché.

Detección avanzada y monitoreo

Implementa monitoreo integral:

1. Análisis de tasa de aciertos en caché: caídas súbitas en la tasa de aciertos pueden indicar intentos de envenenamiento
2. Monitoreo de respuestas de error: rastrea picos inusuales en respuestas de error servidas desde la caché
3. Desajustes en Content-Type: alerta en respuestas donde el Content-Type no coincide con la extensión URL
4. Análisis de claves de caché: audita regularmente qué parámetros se incluyen en las claves

Detección de anomalías:

• Monitorea patrones de solicitud inusuales con encabezados sobredimensionados
• Rastrea solicitudes con caracteres especiales en encabezados
• Identifica solicitudes con manipulaciones sospechosas en la ruta
• Alerta sobre uso inesperado de anulación de método HTTP

Cómo probar tu infraestructura en busca de vulnerabilidades

Evaluación sistemática de vulnerabilidades

Construir un ataque básico de engaño de caché web implica identificar un endpoint que devuelva una respuesta dinámica con información sensible, detectar una discrepancia en cómo el caché y el servidor de origen analizan la URL, crear una URL maliciosa que use esa discrepancia y obtener la respuesta en caché.

Metodología de prueba:

1. Identifica endpoints dinámicos: mapea todos los endpoints que devuelven datos específicos del usuario o sensibles
2. Prueba manipulación de rutas: intenta agregar varias extensiones y rutas a estos endpoints
3. Verifica comportamiento de caché: comprueba si URLs modificadas generan respuestas en caché
4. Analiza claves de caché: determina qué parámetros influyen en las decisiones de almacenamiento
5. Prueba entradas sin clave: prueba sistemáticamente cabeceras y parámetros no incluidos en las claves

Herramientas de escaneo automatizado

Varias herramientas pueden ayudar a identificar vulnerabilidades de envenenamiento de caché:

• Extensiones de Burp Suite: herramientas como Param Miner para identificar entradas sin clave
• Scripts personalizados: desarrolla scripts para probar sistemáticamente el comportamiento de caché
• Framework HCache: herramientas de investigación diseñadas específicamente para detección de envenenamiento de caché web

El futuro de la seguridad de caché

Amenazas emergentes

A medida que las aplicaciones web se vuelven más complejas y los sistemas de caché más sofisticados, emergen nuevos vectores de ataque. La investigación reciente se ha centrado en:

1. Envenenamiento de caché del lado del cliente: explotando mecanismos de caché del navegador
2. Exploits en HTTP/2 y HTTP/3: nuevos protocolos que introducen nuevos comportamientos de caché para explotar
3. Vulnerabilidades en Edge Computing: a medida que el cómputo se desplaza al borde, aparecen nuevas superficies de ataque relacionadas con caché
4. Envenenamiento de caché en API: APIs REST y GraphQL presentan desafíos únicos de caché

Defensas en evolución

La comunidad de seguridad desarrolla defensas avanzadas:

1. Detección con aprendizaje automático: sistemas impulsados por IA que identifican patrones anómalos en caché
2. Caché de confianza cero: arquitecturas que verifican la autenticidad del contenido incluso cuando se sirve desde caché
3. Verificación criptográfica de caché: respuestas firmadas que pueden validarse incluso después de almacenarse
4. Generación dinámica de claves de caché: sistemas inteligentes que adaptan las claves según la sensibilidad del contenido

Conclusión: Construyendo arquitecturas de caché resilientes

El envenenamiento de caché y el engaño de caché web representan amenazas graves para la infraestructura web moderna. Estos ataques explotan la tensión fundamental entre la optimización del rendimiento y la seguridad, aprovechando la complejidad inherente en los sistemas distribuidos de caché.

La clave para la defensa radica en entender que la caché no es solo una función de rendimiento—es un límite de seguridad crítico que debe configurarse y monitorearse adecuadamente. Las organizaciones deben:

1. Implementar defensa en profundidad: aplicar múltiples controles de seguridad en toda la infraestructura de caché
2. Mantener la vigilancia: monitorear continuamente signos de explotación de caché
3. Mantenerse actualizadas: mantener todos los sistemas de caché, CDNs y servidores de origen parchados
4. Probar regularmente: realizar pruebas sistemáticas para identificar vulnerabilidades antes que los atacantes
5. Educar a los equipos: asegurar que desarrolladores y personal de operaciones entiendan las implicaciones de seguridad de la caché

A medida que las aplicaciones web siguen confiando en la caché para mejorar el rendimiento, la importancia de una implementación segura de caché solo crecerá. Los ataques descritos en este artículo demuestran que una sola mala configuración o vulnerabilidad pasada por alto puede tener consecuencias generalizadas, afectando a miles de usuarios simultáneamente.

Al entender estos vectores de ataque, implementar defensas adecuadas y mantener una vigilancia constante, las organizaciones pueden aprovechar los beneficios del rendimiento de la caché protegiendo a sus usuarios de ataques sofisticados. La lucha entre atacantes y defensores envenenadores de caché continúa evolucionando, haciendo que la educación continua y la adaptación sean esenciales para mantener una infraestructura web segura.

---

Puntos clave

• Los ataques de envenenamiento de caché pueden servir contenido malicioso a todos los usuarios mediante una sola solicitud
• Los ataques CPDoS pueden dejar inoperativo un sitio completo envenenando la caché con páginas de error
• El engaño de caché web explota la confusión en las rutas para robar datos privados
• Vulnerabilidades recientes en frameworks populares y servidores DNS muestran la amenaza en curso
• Una configuración adecuada del servidor de origen, CDN y WAF es esencial para la defensa
• El monitoreo continuo y las pruebas regulares son críticas para mantener la seguridad de la caché
• La defensa requiere entender la generación de claves de caché, entradas sin clave y validación de contenido

La sofisticación e impacto de estos ataques hacen que la seguridad de la caché sea una prioridad máxima para cualquier organización que opere a gran escala en Internet moderno.