¿La teva web està en risc? Descobreix per què les biblioteques obsoletes són una bomba de temps.

 Components vulnerables i obsolets

Introducció

Les aplicacions web modernes segueixen arquitectures de múltiples components de programari com bases de dades, APIs (Application Programming Interface), biblioteques, frameworks, sistemes operatius, etc. La gestió i inventariat dels components de programari suposa una tasca bàsica i necessària per a les organitzacions, donada la seva importància per garantir la seguretat, mantenir la compatibilitat, optimitzar el rendiment, reduir riscos operatius, i assegurar el compliment de normatives i llicències vigents com ISO o GDPR. 

Com a conseqüència de la falta de manteniment dels components de programari, existeixen riscos com la vulnerabilitat de Components Vulnerables i Desactualitzats, sent una de les principals amenaces de seguretat identificades en l'OWASP Top Ten de 2021, classificat en la sisena posició. 

Components vulnerables vs Components desactualitzats

Els Components vulnerables són aquells que compten amb vulnerabilitats de seguretat que els atacants poden aprofitar per accedir a informació sensible o guanyar accés al sistema. 

D'altra banda, els Components desactualitzats es refereixen a l'ús de components de programari que ja no reben actualitzacions de seguretat, i que, per tant, manquen de pegats de seguretat que solucionin les vulnerabilitats existents.

Impacte

Algunes de les vulnerabilitats que afecten els components vulnerables o desactualitzats i que poden ser susceptibles d'ésser explotades per usuaris malintencionats són les següents:

• Injecció de codi: Debilitat de seguretat que permet a un atacant introduir codi maliciós en una aplicació (generalment a través d'entrades d'usuari no validades o mal sanititzades) el qual és executat per l'aplicació, permetent a l'atacant realitzar accions no autoritzades. 

• Desbordament de búfer: Els desbordaments de búfer succeeixen quan s'excedeix la capacitat de memòria assignada, permetent que els atacants alterin i corrompin dades a la memòria adjacent. Això pot resultar en l'execució de codi maliciós que provoca fallades del sistema, altera controls de seguretat o permet l'escalament de privilegis.

• Cross Site Scripting: El Cross-Site Scripting és un risc crític per a les aplicacions web modernes, ja que permet als atacants injectar scripts maliciosos en llocs de confiança. Un enfocament comú és el XSS emmagatzemat, on els atacants inserten scripts en components vulnerables de tercers, aprofitant la manca d'actualitzacions i revisions de seguretat, cosa que pot generar amenaces persistents que afecten a múltiples usuaris i sistemes. 

Identificar components vulnerables i desactualitzats

El primer pas per a la detecció de components vulnerables és identificar els programaris existents a l'aplicació o al sistema i les seves versions. Identificar aquestes versions pot involucrar diferents enfocaments, eines i tècniques, com les que es comenten a continuació:

• Codi font: El codi és la columna vertebral de qualsevol programari i, si conté errors de seguretat, pot ser explotat per comprometre la integritat, confidencialitat i disponibilitat d'un sistema. Les vulnerabilitats en el codi solen originar-se per males pràctiques de programació o per la integració de biblioteques de tercers desactualitzades. 

L'anàlisi estàtica de codi (SAST) és una tècnica que permet revisar el codi font d'una aplicació sense executar-lo, amb l'objectiu d'identificar patrons que representin vulnerabilitats de seguretat. Aquest anàlisi es duu a terme mitjançant eines automatitzades que detecten males pràctiques, violacions d'estàndards de programació segura i l'ús de funcions crítiques.