OWASP Top 10 vulnerabilidades de seguridad de aplicaciones web

¿Qué es el Top 10 de OWASP?

OWASP ha desarrollado una serie de recursos que describen las vulnerabilidades más comunes que existen en varios sistemas, incluidas aplicaciones web, API, dispositivos móviles y más. El más famoso de ellos es el OWASP Top Ten, que describe las diez vulnerabilidades más comunes e impactantes que aparecen en la aplicación de producción web. Esta lista se actualiza cada pocos años basándose en una combinación de datos de pruebas de seguridad y encuestas a profesionales de la industria.

La versión más reciente de la lista de los 10 mejores de OWASP se publicó en 2021. Este recurso proporciona información sobre las vulnerabilidades más comunes, ejemplos de cada tipo, mejores prácticas para prevenirlas y descripciones de cómo se puede explotar la vulnerabilidad. Además, cada vulnerabilidad incluye referencias a especificaciones relacionadas de enumeración de debilidades comunes (CWE), que describen una instancia particular de una vulnerabilidad. Por ejemplo, el uso de contraseñas codificadas (CWE-259) se incluye en la vulnerabilidad de fallas de identificación y autenticación dentro de la lista de los diez principales de OWASP.

OWASP Principales vulnerabilidades

La última versión del Top Ten de OWASP contenía varios cambios con respecto a la versión anterior. La lista de 2021 incluye las siguientes vulnerabilidades:

1. Control de acceso roto
2. Fallas criptográficas
3. Inyección
4. Diseño inseguro
5. Mal configuración de seguridad
6. Componentes vulnerables y obsoletos
7. Fallos de identificación y autenticación
8. Fallas de integridad de datos y software
9. Fallos de registro y monitoreo de seguridad
10. Falsificación de solicitudes del lado del servidor

De estas, cuatro vulnerabilidades (4, 8 y 10) son completamente nuevas, cuatro no han cambiado más que la clasificación y el resto consolida o cambia el nombre de categorías de la versión anterior de la lista.

#1. Control de acceso roto

Los sistemas de control de acceso están destinados a garantizar que solo los usuarios legítimos tengan acceso a los datos o a la funcionalidad. La vulnerabilidad en la categoría de control de acceso roto incluye cualquier problema que permita a un atacante eludir los controles de acceso o que no implemente el principio de privilegio mínimo. Por ejemplo, una aplicación web podría permitir a un usuario acceder a la cuenta de otro usuario modificando la URL proporcionada.

#2. Fallas criptográficas

Los algoritmos criptográficos son invaluables para proteger la privacidad y la seguridad de los datos; sin embargo, estos algoritmos pueden ser muy sensibles a errores de implementación o configuración. Las fallas criptográficas incluyen la imposibilidad de utilizar el cifrado, configuraciones incorrectas de los algoritmos criptográficos y una gestión de claves insegura. Por ejemplo, una organización podría usar un algoritmo hash inseguro para el almacenamiento de contraseñas, no usar las contraseñas o usar la misma sal para todas las contraseñas de usuario almacenadas.

#3. Inyección

La vulnerabilidad de inyección es posible debido a que no se desinfectan adecuadamente las entradas del usuario antes de procesarlas. Esto puede ser especialmente problemático en lenguajes como SQL, donde los datos y los comandos se entremezclan para que los datos proporcionados por el usuario malformados malintencionadamente puedan interpretarse como parte de un comando. Por ejemplo, SQL suele usar comillas simples (') o dobles (“) para delinear los datos del usuario dentro de una consulta, por lo que la entrada del usuario que contiene estos caracteres podría ser capaz de cambiar el comando que se está procesando.

#4. Diseño inseguro

La vulnerabilidad se puede introducir en el software durante el proceso de desarrollo de dos maneras diferentes. Si bien muchas de las vulnerabilidades en la lista Top Ten de OWASP tienen que ver con errores de implementación, esta vulnerabilidad describe fallas en el diseño que socavan la seguridad del sistema. Por ejemplo, si el diseño de una aplicación que almacena y procesa datos confidenciales no incluye un sistema de autenticación, entonces una implementación perfecta del software tal como fue diseñado seguirá siendo insegura y no protegerá adecuadamente estos datos confidenciales.

#5. Mal configuración de seguridad

Además de su diseño e implementación, la seguridad de una aplicación también está determinada por cómo está configurada. Un fabricante de software tendrá configuraciones predeterminadas para su aplicación y los usuarios también podrán habilitar o deshabilitar varias configuraciones, que pueden mejorar o perjudicar la seguridad del sistema. Ejemplos de configuraciones erróneas de seguridad podrían incluir habilitar aplicaciones o puertos innecesarios, dejar cuentas y contraseñas predeterminadas activas y sin cambios, o configurar mensajes de error para exponer demasiada información a un usuario.

#6 Componentes vulnerables y obsoletos

La vulnerabilidad de la cadena de suministro se ha convertido en una preocupación importante en los últimos años, especialmente cuando los actores de amenazas han intentado insertar código malicioso o vulnerable en bibliotecas de uso común y dependencias de terceros. Si una organización carece de visibilidad del código externo que se utiliza dentro de su aplicación (incluidas las dependencias anidadas) y no lo escanea en busca de dependencias, entonces puede ser vulnerable a la explotación. Además, si no se aplican rápidamente actualizaciones de seguridad a estas dependencias, se podría dejar una vulnerabilidad explotable abierta a ataques. Por ejemplo, una aplicación puede importar una biblioteca de terceros que tiene sus propias dependencias que podrían contener una vulnerabilidad explotable conocida.

#7. Fallos de identificación y autenticación

Muchas aplicaciones y sistemas requieren alguna forma de identificación y autenticación, como que un usuario demuestre su identidad ante una aplicación o un servidor que proporcione un certificado digital que verifique su identidad a un usuario al configurar una conexión cifrada con TLS. Los fallos de identificación y autenticación se producen cuando una aplicación se basa en procesos de autenticación débiles o no valida correctamente la información de autenticación. Por ejemplo, una aplicación que carece de autenticación de múltiples factores (MFA) podría ser vulnerable a un ataque de relleno de credenciales en el que un atacante intenta automáticamente combinaciones de nombre de usuario y contraseña de una lista de credenciales débiles, comunes, predeterminadas o comprometidas.

#8. Fallas de integridad de datos y software

La vulnerabilidad de fallas de integridad de datos y software en la lista OWASP Top 10 aborda las debilidades en la seguridad de la canalización DevOps de una organización y los procesos de actualización de software similares a los que hicieron posible el hack de SolarWinds. Esta clase de vulnerabilidad incluye confiar en código de terceros de fuentes o repositorios que no son de confianza, no asegurar el acceso a la canalización de CI/CD y no validar adecuadamente la integridad de las actualizaciones aplicadas automáticamente. Por ejemplo, si un atacante puede reemplazar un módulo o dependencia confiable con una versión modificada o maliciosa, entonces las aplicaciones creadas con esa dependencia podrían ejecutar código malicioso o ser vulnerables a la explotación.

#9. Fallos de registro y monitoreo de seguridad

Las fallas de registro y monitoreo de seguridad son la primera de las vulnerabilidades que se derivan de las respuestas a la encuesta y han subido desde el décimo lugar en la iteración anterior de la lista. Muchos incidentes de seguridad se activan o exacerban por el hecho de que una aplicación no logra registrar eventos de seguridad importantes o que estos archivos de registro no se monitorean y manejan adecuadamente. Por ejemplo, es posible que una aplicación no genere archivos de registro, que genere registros de seguridad que carezcan de información crítica o que estos archivos de registro solo estén disponibles localmente en una computadora, lo que los hace útiles solo para la investigación después de que se haya detectado un incidente. Todas estas fallas degradan la capacidad de una organización para detectar rápidamente un posible incidente de seguridad y responder en tiempo real.

#10. Falsificación de solicitudes del lado del servidor

La falsificación de solicitudes del lado del servidor (SSRF) es inusual entre las vulnerabilidades enumeradas en la lista OWASP Top Ten porque describe una vulnerabilidad o ataque muy específico en lugar de una categoría general. Las vulnerabilidades de la SSRF son relativamente raras; sin embargo, tienen un impacto significativo si son identificados y explotados por un atacante. El hackeo de Capital One es un ejemplo de un incidente de seguridad reciente de alto impacto que aprovechó una vulnerabilidad SSRF.

La vulnerabilidad SSRF puede existir cuando una aplicación web no valida adecuadamente una URL proporcionada por un usuario al recuperar un recurso remoto ubicado en esa URL. Si este es el caso, entonces un atacante que aproveche la vulnerabilidad puede utilizar la aplicación web vulnerable para enviar una solicitud diseñada por el atacante a la URL indicada. Esto permite al atacante eludir los controles de acceso, como un firewall, que bloquearía las conexiones directas del atacante a la URL de destino, pero que está configurado para proporcionar acceso a la aplicación web vulnerable.