OWASP Top 10 2025: Fallos en la cadena de suministro de software

Con la esperada llegada del OWASP Top Ten 2025, las empresas se enfrentan a nuevas amenazas ante las que deben extremar la precaución, incluida una que acecha en los primeros puestos de la lista. Los fallos en la cadena de suministro de software, que debutan como una nueva categoría aunque no son algo totalmente inédito, ocupan el tercer lugar en la lista cuatrienal del Open Web Application Security Project sobre los riesgos más graves para la seguridad de las aplicaciones web. Es un riesgo que las empresas deben tomarse muy en serio, si es que no lo hacen ya.

Los fallos en la cadena de suministro de software surgieron de una categoría de la lista anterior de 2021, Componentes vulnerables y obsoletos, y ahora abarcan una gama más amplia de riesgos en todo el ecosistema de software, desde dependencias y sistemas de compilación hasta la infraestructura de distribución. Su aparición en la lista no debería sorprender, dados los daños causados por ataques de alto perfil a la cadena de suministro, como SolarWinds en 2019, el hackeo a Bybit a principios de este año y la actual campaña Shai-Hulud, un gusano npm autorreplicable especialmente dañino que está causando estragos en entornos de desarrollo expuestos.

El OWASP Top Ten ha sido generalmente consistente, lo cual es apropiado para una lista que se publica cada cuatro años, aunque con actualizaciones intermedias. Suele haber cambios dentro de la lista: por ejemplo, Inyección, un residente habitual, cae del puesto 3 al 5, y Diseño inseguro desciende dos lugares hasta el 6, mientras que Configuración de seguridad incorrecta salta del 5 al 2. Control de acceso roto sigue ocupando la primera posición. La edición de 2025 incluye dos nuevas entradas: los mencionados Fallos en la cadena de suministro de software y el Manejo incorrecto de condiciones excepcionales, que entra en el puesto 10. A continuación, analizamos en detalle esta nueva vulnerabilidad de la cadena de suministro.

[VER VIDEO]

Las vulnerabilidades pueden surgir en casi cualquier lugar

Los fallos en la cadena de suministro de software son una categoría inusual en la lista, ya que, de las 10 entradas, es la que presenta menos apariciones en los datos de investigación de OWASP, pero también la que tuvo las puntuaciones más altas de explotación e impacto promedio resultantes de las cinco Debilidades Comunes (CWE) de la categoría. OWASP sospecha que la presencia limitada de esta categoría se debe a los desafíos actuales para realizar pruebas, algo que podría mejorar con el tiempo. Independientemente de esto, los encuestados señalaron mayoritariamente los fallos en la cadena de suministro de software como una de sus principales preocupaciones.

La mayoría de las vulnerabilidades en la cadena de suministro surgen de la naturaleza interconectada de los negocios, que involucra a socios y terceros tanto en sentido ascendente como descendente. Cada interacción implica software cuyos componentes (también conocidos como dependencias o bibliotecas) podrían estar desprotegidos. Una empresa puede ser vulnerable si no realiza un seguimiento de todas las versiones de sus propios componentes (lado del cliente, lado del servidor o anidados), así como de las dependencias transitivas (de otras bibliotecas), asegurándose de que no sean vulnerables, no tengan soporte o estén obsoletas. Los componentes suelen tener los mismos privilegios que la aplicación, por lo que los componentes comprometidos, incluidos los provenientes de terceros o repositorios de código abierto, pueden tener un impacto de gran alcance. Los parches y actualizaciones oportunos son esenciales; incluso los programas de parches mensuales o trimestrales pueden dejar a una empresa expuesta durante días o meses.

Del mismo modo, la falta de un proceso de gestión de cambios en su cadena de suministro puede generar vulnerabilidades si no realiza un seguimiento de los Entornos de Desarrollo Integrados (IDE) o de los cambios en su repositorio de código, repositorios de imágenes y bibliotecas, u otras partes de la cadena de suministro. Una organización debe reforzar la cadena de suministro aplicando políticas de control de acceso y de privilegios mínimos, asegurándose de que nadie pueda crear código e implementarlo en producción sin supervisión, y que nadie pueda descargar componentes de fuentes no confiables.

Los ataques a la cadena de suministro pueden adoptar muchas formas. El notorio ataque a SolarWinds comenzó cuando atacantes rusos inyectaron malware en una actualización del popular software de gestión de red de la empresa. Afectó a unos 18 000 clientes. Aunque el número de empresas realmente impactadas fue cercano a 100, esa lista incluía a grandes corporaciones y agencias gubernamentales. El hackeo de 1500 millones de dólares a Bybit, atribuido a Corea del Norte, involucró aplicaciones de criptomonedas comprometidas. El reciente ataque a la cadena de suministro Glass Worm involucró un código invisible y autorreplicable que infectó el Open VSX Marketplace.

Prevención de exploits en la cadena de suministro

Debido a que los ataques a la cadena de suministro involucran la interdependencia de los sistemas, defenderse de ellos requiere un enfoque integral. OWASP ofrece consejos para prevenir ataques, incluyendo la implementación de procesos de gestión de parches para:

• Conozca su Lista de Materiales de Software (SBOM) para todo el software y adminístrela de forma centralizada. Es mejor generar los SBOM durante la compilación, en lugar de hacerlo después, utilizando formatos estándar como SPDX o CycloneDX, y publicar al menos un SBOM legible por máquina por cada versión.
• Realice un seguimiento de todas sus dependencias, incluidas las transitivas, eliminando las dependencias no utilizadas, así como las funciones, componentes, archivos y documentación innecesarios.
• Inventaríe continuamente los componentes del lado del cliente y del servidor, así como sus dependencias, utilizando herramientas como OWASP Dependency Check o retire.js.
• Manténgase al día sobre las vulnerabilidades, monitoreando continuamente fuentes como el sitio web de Vulnerabilidades y Exposiciones Comunes (CVE) y la Base de Datos Nacional de Vulnerabilidades (NVD), y suscríbase a alertas por correo electrónico sobre vulnerabilidades de seguridad relacionadas con los componentes que utiliza.
• Utilice únicamente componentes obtenidos de fuentes confiables a través de enlaces seguros. Un proveedor confiable, por ejemplo, estaría dispuesto a trabajar con un investigador para revelar un CVE que este haya descubierto en un componente.
• Elija deliberadamente qué versión de una dependencia utilizará y actualice solo cuando sea necesario. Trabaje con bibliotecas de terceros cuyas vulnerabilidades se hayan publicado en una fuente reconocida como la NVD.
• Monitoree las bibliotecas y componentes sin mantenimiento o sin soporte. Si no es posible aplicar parches, considere implementar un parche virtual para monitorear, detectar o proteger contra el problema descubierto.
• Actualice regularmente las herramientas de desarrollo.
• Trate los componentes de su pipeline de CI/CD como parte de este proceso, reforzándolos y monitoreándolos mientras documenta los cambios.

La gestión de cambios o un proceso de seguimiento también deben aplicarse a sus configuraciones de CI/CD, repositorios de código, entornos de prueba (sandboxes), entornos de desarrollo integrados (IDE), herramientas de SBOM, artefactos creados, sistemas de registro y logs, integraciones de terceros como SaaS, repositorios de artefactos y su registro de contenedores. También debe reforzar los sistemas, desde las estaciones de trabajo de los desarrolladores hasta el pipeline de CI/CD. Asegúrese también de habilitar la autenticación multifactor mientras aplica políticas estrictas de gestión de identidad y acceso.

Protegerse contra los fallos en la cadena de suministro de software es una tarea multifacética y continua en nuestro mundo altamente interconectado. Las organizaciones deben emplear medidas defensivas sólidas durante todo el ciclo de vida de sus aplicaciones y componentes para defenderse de esta amenaza moderna y en rápida evolución.

Nota para los usuarios de SCW Trust Score™:

A medida que actualizamos el contenido de nuestra plataforma de aprendizaje para alinearlo con el estándar OWASP Top 10 2025, es posible que observe ajustes menores en el Trust Score de sus desarrolladores Full Stack. Comuníquese con su representante de Customer Success si tiene preguntas o necesita asistencia.