Vulnerabilidad en Node.js (CVE-2023-30585)

Se ha identificado una vulnerabilidad en el proceso de instalación de Node.js (versión .msi), que afecta específicamente a los usuarios de Windows que instalan Node.js utilizando el instalador .msi. Esta vulnerabilidad surge durante la operación de reparación, donde el proceso "msiexec.exe", que se ejecuta en el contexto NT AUTHORITY\SYSTEM, intenta leer la variable de entorno %USERPROFILE% del registro del usuario actual. El problema surge cuando la ruta a la que hace referencia la variable de entorno %USERPROFILE% no existe. En tales casos, el proceso "msiexec.exe" intenta crear la ruta especificada de forma insegura, lo que podría provocar la creación de carpetas arbitrarias en ubicaciones arbitrarias. La gravedad de esta vulnerabilidad se ve aumentada por el hecho de que los usuarios estándar (o "sin privilegios") pueden modificar la variable de entorno %USERPROFILE% en el registro de Windows. En consecuencia, los actores no privilegiados, incluidas entidades maliciosas o troyanos, pueden manipular la clave de la variable de entorno para engañar al proceso privilegiado "msiexec.exe". Esta manipulación puede dar como resultado la creación de carpetas en ubicaciones no deseadas y potencialmente maliciosas. Es importante tener en cuenta que esta vulnerabilidad es específica de los usuarios de Windows que instalan Node.js utilizando el instalador .msi. Los usuarios que optan por otros métodos de instalación no se ven afectados por este problema en particular.