The Daily WTF publicó un relato de Ellis Morning basado en el testimonio del lector Jared B. Jared pasó un año como redactor de currículo en una empresa edtech fundada por un profesor de ingeniería mecánica al que llaman Harry. En los años noventa, Harry había desarrollado un intérprete de C y, décadas después, seguía convencido de que era la tecnología del futuro; sobre esa base construyó un plan de estudios de matemáticas e informática para alumnos de primaria y secundaria.

Cuando los Chromebooks desplazaron a los equipos Windows en las aulas, Harry añadió un IDE basado en navegador, pero mantuvo para las escuelas que seguían con Windows un botón "Ejecutar localmente". Al pulsarlo se instalaba un servicio en segundo plano que, al arrancar el sistema, levantaba un servidor websocket en el puerto 12345 con un endpoint llamado execute_c_program. Este endpoint recibía una cadena de código C y la pasaba directamente al intérprete, incluyendo funciones como execv().

El endpoint no tenía ninguna autenticación: cualquier sitio web podía enviar código en silencio a localhost:12345 y lograr ejecución remota de código en cuanto la víctima cargara una página maliciosa. Peor aún, el servidor escuchaba en 0.0.0.0, así que cualquier dispositivo en la misma red podía acceder directamente, sin necesidad de ningún engaño previo. El fallo pasó inadvertido durante años mientras el software se instalaba en miles de ordenadores escolares de todo el estado; Harry solo había contratado como desarrolladores a sus propios estudiantes de posgrado.

Jared documentó y demostró la vulnerabilidad a Harry, quien publicó una nueva versión que solo mencionaba "mejoras de seguridad" en las notas de la versión, sin avisar nunca a los responsables de TI de colegios o distritos sobre la urgencia de actualizar. Jared también reportó un exploit distinto de robo de cookies que amenazaba los datos de alumnos y profesores, además de una inyección de código en otro sitio de la empresa, donde una página evaluaba en el servidor, mediante eval() sin ninguna validación, expresiones matemáticas escritas por los usuarios; al explotarla descubrió miles de registros de transacciones con números de tarjeta de crédito almacenados en texto plano.

La empresa sigue en activo y hace poco fue incluida en un ranking de TIME de las mejores empresas edtech de Estados Unidos. Según Jared, el acceso de administrador del router de la oficina todavía funciona con las credenciales predeterminadas, fáciles de encontrar con una búsqueda en Google.