Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2023-43208
Vulnerabilidad CVE-2023-43208
Publicado: 20/02/2026
Escrito por: Nadine Rozell
Las CVE son Common Vulnerabilities and Exposures: identificadores únicos asignados a vulnerabilidades de ciberseguridad conocidas públicamente.
CVE-2023-43208 es una vulnerabilidad crítica de ejecución remota de código (RCE) no autenticada que afecta a NextGen Healthcare Mirth Connect, una plataforma de integración de datos muy utilizada en el sector salud para procesar registros de pacientes (HL7, XML, etc.).
Esta página detalla cómo funciona esta falla de deserialización en Java, por qué falló el parche original y cómo proteger tu entorno contra ella.
¿Qué es la vulnerabilidad CVE-2023-43208?
CVE-2023-43208 es una vulnerabilidad de deserialización insegura dentro de la API de Mirth Connect.
Permite a un atacante no autenticado enviar un payload XML especialmente diseñado al servidor. Como la aplicación no valida correctamente los datos antes de "deserializarlos" (procesarlos), el payload ejecuta código Java arbitrario con los privilegios del servicio de Mirth Connect (a menudo SYSTEM o root).
Esta vulnerabilidad en realidad es un bypass de parche para un problema anterior, CVE-2023-37679. La corrección inicial fue incompleta, lo que permitió a los atacantes encontrar nuevas formas de ejecutar código.
¿Cuándo se descubrió?
La vulnerabilidad fue divulgada porinvestigadores de Horizon3.ai en octubre de 2023. Fue agregada notablemente alcatálogo de vulnerabilidades explotadas conocidas (KEV) de CISA el 20 de mayo de 2024, lo que confirma la explotación activa en el entorno real.
Productos y versiones afectados
Esta vulnerabilidad afecta a las versiones de Mirth Connect que dependen de una implementación insegura de la librería XStream.
Producto | Versiones afectadas | Versiones corregidas |
NextGen Mirth Connect | Versiones anteriores a 4.4.1 | Mirth Connect 4.4.1 o posterior |
Descripción técnica de CVE-2023-43208
El núcleo del problema radica en cómo Mirth Connect usa la librería Java XStream para convertir datos XML en objetos Java.
En las versiones afectadas, la clase XmlMessageBodyReader procesa las solicitudes XML entrantes antes de verificar si el usuario está autenticado. Esto significa que cualquier desconocido en internet puede pedirle al servidor que procese un archivo XML.
El parche anterior (para CVE-2023-37679) intentó corregir esto creando una "lista de bloqueo" de clases Java específicas peligrosas (como ProcessBuilder). Sin embargo, los atacantes evadieron esto usando otras clases peligrosas que no estaban en la lista, como InvokerTransformer de la librería Apache Commons Collections.
Al encadenar estas clases permitidas, un atacante puede construir un payload que el servidor ejecuta sin cuestionar, lo que otorga control remoto total.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes, incluido el grupo de amenazas chino Storm-1175 y varios operadores de ransomware, utilizan esta vulnerabilidad para el acceso inicial.
Reconocimiento: Los atacantes escanean en busca de portales de inicio de sesión de Mirth Connect (a menudo en los puertos 8080 o 8443) que exponen el endpoint /api/server/version para confirmar la versión del software.
Explotación: Envían una solicitud POST a un endpoint como /api/users. El cuerpo de la solicitud contiene el payload XML con la cadena maliciosa de XStream.
Ejecución: El servidor deserializa el XML, ejecuta el comando incrustado (a menudo un script de PowerShell o un comando de shell) y establece una conexión de vuelta con el atacante.
Impacto: Dado que Mirth Connect maneja datos sensibles de pacientes (PHI), esto a menudo conduce arobo masivo de datos y despliegue de ransomware.
Indicadores de compromiso
Tráfico de red: Conexiones salientes inesperadas desde tu servidor de Mirth Connect, en particular hacia IPs externas desconocidas o en puertos asociados con comando y control (por ejemplo, 80, 443, 445).
Anomalías de procesos: El proceso Java de Mirth Connect (java.exe o mcserver) genera procesos secundarios inesperados como cmd.exe, powershell.exe, o /bin/bash.
Entradas de registro: Aunque la explotación exitosa puede ser silenciosa, los intentos fallidos podrían generar errores com.thoughtworks.xstream.converters.ConversionException o SecurityException en los registros del servidor de Mirth Connect (mirth.log).
Pruebas de concepto y exploits conocidos
Horizon3.ai publicó un análisis técnico detallado y un exploit de prueba de concepto (PoC) en enero de 2024.
El exploit es muy confiable porque apunta a la forma fundamental en que la aplicación maneja los datos, no a una configuración específica. Los scripts de exploit automatizados están ampliamente disponibles en kits de herramientas de pruebas de penetración y son utilizados activamente por los actores de amenazas.
Cómo detectar la vulnerabilidad CVE-2023-43208
Verificación de versión: puedes verificar activamente tu versión enviando una solicitud a la API: curl -k -H 'X-Requested-With: OpenAPI' https://
: /api/server/version Si devuelve una versión inferior a 4.4.1, eres vulnerable. Escaneo de vulnerabilidades: Herramientas como Nessus, Qualys y Rapid7 tienen plugins para detectar este CVE específico.
Monitoreo de endpoints: Asegúrate de que tu Managed EDR esté monitoreando el endpoint de Mirth Connect en busca de ascendencia de procesos sospechosa (por ejemplo, Java iniciando shells).
Impacto y riesgo de la vulnerabilidad CVE-2023-43208
El riesgo es crítico.
Dado que Mirth Connect es un "motor de interfaz", se encuentra en el centro de una red de salud, conectando registros médicos electrónicos (EHR), laboratorios y otros sistemas críticos. Comprometer este servidor les da a los atacantes un punto de pivote perfecto para acceder a toda la red y robar grandes cantidades de información de salud protegida (PHI).
Estrategias de mitigación y remediación
Aplica el parche de inmediato: Actualiza Mirth Connect a la versión 4.4.1 o posterior. Esta versión reemplaza el enfoque fallido de "lista de rechazados" por una estricta "lista de aceptados", que solo permite procesar clases seguras.
Aísla el servidor: Asegúrate de que la interfaz administrativa de Mirth Connect no esté expuesta a la internet pública. Solo debería ser accesible mediante VPN o desde una red interna de administración restringida.
Privilegio mínimo: Ejecuta el servicio de Mirth Connect con los privilegios más bajos posibles (por ejemplo, una cuenta de servicio dedicada), nunca como SYSTEM o Root, para limitar el daño si ocurre un ataque.
Preguntas frecuentes sobre la vulnerabilidad CVE-2023-43208
Es una falla de ejecución remota de código en Mirth Connect causada por una deserialización insegura de Java. Los atacantes envían un archivo XML malicioso que el servidor procesa sin verificar primero una contraseña, lo que les permite ejecutar comandos y tomar control de la máquina.
Es un punto de entrada para los atacantes. Lo explotan para entrar y luego instalan malware (como ransomware o webshells) para mantener el control y robar datos.
Sí. Sigue siendo un objetivo principal para los grupos de ransomware que atacan al sector salud. Como permite acceso sin autenticación, es probable que cualquier servidor sin parchear expuesto a internet sea comprometido en cuestión de horas tras su detección.
La única solución efectiva es actualizar a la versión 4.4.1 o superior. Además, deberías restringir estrictamente el firewall del servidor para que no pueda alcanzarse desde internet abierta.
