Hackers explotan CVE-2025-51591 en Pandoc para intentar robar credenciales IAM de EC2 (IMDS)

Un fallo en la utilidad de conversión de documentos Pandoc está siendo aprovechado en el mundo real para intentar acceder al Instance Metadata Service (IMDS) de Amazon Web Services (AWS) y extraer credenciales temporales de instancias EC2. Aunque estos intentos no siempre tuvieron éxito, el caso vuelve a poner en alerta a equipos de seguridad en la nube sobre el riesgo real de las vulnerabilidades SSRF.

¿Qué es CVE-2025-51591?

CVE-2025-51591 es una vulnerabilidad de tipo SSRF (Server-Side Request Forgery) en Pandoc que permite a un atacante inyectar un elemento HTML <iframe> especialmente construido. Al renderizar ese iframe, Pandoc podría solicitar recursos internos accesibles desde la máquina vulnerable.

¿Por qué preocupa al mundo cloud?

El IMDS de AWS (dirección link-local 169.254.169.254) expone metadatos de la instancia, incluyendo rutas que devuelven credenciales temporales si la instancia tiene asociado un rol IAM. Con una SSRF que alcance IMDS, un atacante puede intentar leer endpoints como /latest/meta-data/iam/info y /latest/meta-data/iam para robar esas credenciales y luego usarlas para moverse lateralmente o acceder a S3, RDS u otros servicios. Se han documentado intentos de explotación en entornos reales durante las últimas semanas.

¿Qué pasó en los incidentes observados?

Se detectaron documentos HTML maliciosos enviados a servicios que usan Pandoc; esos documentos contenían <iframe src="http://169.254.169.254/…"> apuntando al IMDS. El objetivo era renderizar y exfiltrar el contenido de rutas sensibles. En varios casos los intentos fueron bloqueados gracias al uso de IMDSv2.

¿IMDSv2 realmente mitiga esto?

Sí. IMDSv2 añade un paso de sesión: se debe solicitar un token y enviar ese token en un encabezado (X-aws-ec2-metadata-token) en todas las llamadas al IMDS. Esto dificulta que una simple SSRF lea credenciales porque las llamadas requieren un token válido además de la solicitud HTTP.

Recomendaciones prácticas (para equipos de DevOps y seguridad)

1. Forzar IMDSv2 en todas las instancias EC2 — revisar y corregir cualquier instancia que aún use IMDSv1.

2. Aplicar principio de mínimo privilegio (PoLP) en los roles de instancia — asignar solo los permisos estrictamente necesarios.

3. Sanitizar y aislar entradas antes de convertirlas con Pandoc — no procesar HTML de usuarios de forma directa en contextos que puedan acceder a recursos internos.

4. Usar las opciones de Pandoc para mitigar el riesgo: emplear -f html+raw_html o, preferiblemente, --sandbox cuando se procesen contenidos no fiables para evitar incluir contenidos de <iframe> mediante su src.

5. Monitoreo y detección: alertar sobre requests inusuales hacia 169.254.169.254 desde procesos que no deberían acceder al IMDS; configurar reglas de detección en herramientas de seguridad en la nube.

6. Revisar y parchear Pandoc en pipelines y contenedores; verificar actualizaciones y avisos de seguridad.

¿Qué debe tomar en cuenta la empresa?

Aunque el CVSS asociado al fallo puede ser moderado, el impacto en entornos cloud puede ser alto porque permite robar credenciales temporales sin acceso directo al host. Las organizaciones que procesan contenidos de usuarios con herramientas de conversión deben combinar buenas configuraciones de IMDS, saneamiento de entradas y control de privilegios para reducir el riesgo.

Conclusión

El incidente con CVE-2025-51591 recuerda que utilidades aparentemente inocuas del stack pueden convertirse en vectores críticos cuando interactúan con infraestructura cloud. Apliquen IMDSv2, limiten roles, parcheen Pandoc y traten el procesamiento de HTML no confiable como una operación de riesgo.