Reporte Integral de Seguridad

El archivo main.c05970775482fc41.js (13.7 MB, sin ofuscación) expone todas las rutas del API, la estructura de roles del sistema, los roles estáticos (admin, professional, auditor, asistente, paciente, centro-referencia, centro-remisor), módulos ocultos de seguridad (/security/roles), URLs dinámicas de videollamadas, y secciones de auditoría interna (/audit/medical-records). Un atacante puede crear un mapa pasivo total sin necesidad de autenticarse.

El límite de peticiones (Rate Limit) de 1000 intentos por ventana de tiempo sin bloqueos o expulsiones (lockout) de cuenta ni validación CAPTCHA expone gravemente el sistema a ataques de fuerza bruta automatizada.

La autenticación se gestiona retornando el token JWT en el payload JSON. El frontend Angular lo guarda en LocalStorage o memoria de sesión. Al faltar políticas CSP (ver VULN-04), si la plataforma llega a tener una mínima vulnerabilidad de Cross-Site Scripting (XSS), un atacante o script parásito puede robar el JWT y apropiarse de la sesión del paciente o médico limpiamente.

El dominio no envía la cabecera Content-Security-Policy (CSP) (lo que permite inyección de scripts ajenos exacerbando el riesgo de la VULN-03) ni la de Strict-Transport-Security (HSTS). Un atacante en red local (ej: WiFi pública) podría hacer "SSL Stripping" e interceptar las credenciales en texto claro sin que el navegador bloquee la conexión HTTP.

Se emiten headers sensibles en todas las respuestas: X-Powered-By: Express y Server: nginx/1.24.0 (Ubuntu). Adicionalmente, se verificó mediante trazas en consola de desarrollador que Angular está compilado/ejecutándose en modo de desarrollo. Esto facilita enumeración de la infraestructura para exploits públicos.

GET https://api.olivia.net.co/health responde exitosamente ({"status":"OK"}) sin Token REST. Aunque no muestra PII (Información de Identificación Personal), permite perfilamiento automatizado continuo de latencia o disponibilidad de los clusters para la preparación de ataques.

Al auditar los parsers del backend enviando payloads tipo "username": "admin\u0000" (inyección de bytes nulos/tabuladores), la API colapsó internamente devolviendo un error HTTP 500 Internal Server Error en lugar de atrapar la anomalía con un 400 Bad Request o 401. Esto expone fragilidad en las validaciones de Prisma/Node.js, posibilitando una degradación de servicio o encubrimiento de inyecciones posteriores si el WAF solo sanitiza strings normales.

Se descubrió que el endpoint /health (y potencialmente otros) carece de los 7 headers de seguridad estándar recomendados por OWASP:

• ❌ Strict-Transport-Security (HSTS) — Sin protección contra SSL Stripping
• ❌ Content-Security-Policy (CSP) — Sin protección contra XSS e inyección de scripts
• ❌ X-Content-Type-Options — Vulnerable a MIME-type sniffing
• ❌ X-Frame-Options — Vulnerable a Clickjacking
• ❌ X-XSS-Protection — Sin filtro XSS del navegador
• ❌ Referrer-Policy — Fuga de información de referencia
• ❌ Permissions-Policy — Sin restricciones de APIs del navegador

Adicionalmente, el header X-Powered-By: Express sigue expuesto, revelando la tecnología del backend.

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header Content-Security-Policy "default-src 'self'" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
proxy_hide_header X-Powered-By;

El endpoint /health acepta peticiones con headers Host: evil.com, X-Forwarded-Host: evil.com y X-Real-IP: 127.0.0.1 retornando HTTP 200 en todos los casos. Esto permite:

• 🚨 Cache Poisoning: Un atacante puede envenenar la caché de Nginx/CDN para servir contenido malicioso
• 🚨 Password Reset Poisoning: Si existe un flujo de recuperación de contraseña, el enlace de reset podría apuntar a un servidor controlado por el atacante
• 🚨 IP Spoofing: X-Forwarded-For y X-Real-IP son aceptados, potencialmente evadiendo restricciones por IP

$ curl -s -o /dev/null -w "%{http_code}" https://api.olivia.net.co/health -H "Host: evil.com"
200  ← Debería ser 400 o 421 Misdirected Request

El escaneo de puertos reveló que servicios internos están accesibles desde internet público:

• 🚨 Puerto 3000 (Node.js directo) → HTTP 404 — El backend Express responde directamente sin pasar por Nginx
• 🚨 Puerto 8080 → HTTP 200 — Servicio web alternativo completamente accesible
• 🔴 Puerto 27017 (MongoDB) → HTTP 200 — Base de datos MongoDB accesible desde internet

$ curl http://api.olivia.net.co:3000/   → 404 (Node.js directo)
$ curl http://api.olivia.net.co:8080/   → 200 (servicio alternativo)
$ curl http://api.olivia.net.co:27017/  → 200 (MongoDB!)

El registro DMARC del dominio tiene política p=none:

"v=DMARC1; p=none;"

Esto significa que servidores de correo no bloquearán emails enviados suplantando direcciones @olivia.net.co. Combinado con la ausencia de registros SPF y MX, un atacante puede enviar emails de phishing haciéndose pasar por Olivia.

Al acceder directamente al puerto 3000 (Node.js/Express sin Nginx), se descubrió que la configuración CORS devuelve:

Access-Control-Allow-Origin: *

Esto significa que cualquier sitio web puede hacer peticiones cross-origin al backend directamente, evadiendo todas las restricciones CORS configuradas en Nginx. Combinado con la ausencia de rate limiting en este puerto (20 intentos sin HTTP 429), un atacante puede:

• 🚨 Ejecutar ataques de fuerza bruta desde cualquier navegador via JavaScript
• 🚨 Exfiltrar datos si obtiene un JWT válido (usando VULN-02 + VULN-03)
• 🚨 Realizar CSRF attacks contra usuarios autenticados de Olivia

El puerto 8080 sirve la aplicación Angular completa de Olivia via un segundo Nginx (versión 1.25.4), distinto al principal (1.24.0). Todas las rutas retornan HTTP 200:

:8080/         → 200 (Frontend Angular)
:8080/admin    → 200 (Panel admin!)
:8080/dashboard→ 200 (Dashboard!)
:8080/login    → 200 (Login!)
:8080/.env     → 200 (catch-all SPA)
:8080/config   → 200 (catch-all SPA)

Este servidor secundario podría no tener las mismas protecciones (headers de seguridad, rate limiting) que el Nginx principal en el puerto 443.

Se encontraron 7 archivos .map (source maps) accesibles en el puerto 8080:

http://api.olivia.net.co:8080/main.c05970775482fc41.js.map
http://api.olivia.net.co:8080/polyfills.js.map
http://api.olivia.net.co:8080/runtime.js.map
http://api.olivia.net.co:8080/styles.css.map
http://api.olivia.net.co:8080/vendor.js.map
http://api.olivia.net.co:8080/scripts.js.map

Los source maps permiten reconstruir el código fuente original de Angular con nombres de variables, funciones y componentes reales, agravando VULN-01 (bundle sin ofuscar).