Cambios en la lista de 2021 de OWASP: un nuevo plan de batalla y el enemigo principal

En este mundo cada vez más caótico, siempre ha habido algunas constantes con las que la gente podía contar de forma fiable: el sol saldrá por la mañana y se pondrá por la noche, Mario siempre será más genial que Sonic the Hedgehog, y los ataques de inyección siempre ocuparán el primer puesto en la lista del Open Web Application Security Project (OWASP) de las diez vulnerabilidades más comunes y peligrosas que los atacantes están explotando activamente.

Bueno, el sol saldrá mañana y Mario sigue teniendo ventaja sobre Sonic, pero los ataques de inyección han perdido el primer puesto en la infame lista OWASP, actualizada en 2021. Siendo una de las formas de ataque más antiguas, las vulnerabilidades de inyección existen casi desde que empezaron las redes informáticas. Esta vulnerabilidad general es responsable de una amplia gama de ataques, que incluyen desde las tradicionales inyecciones SQL hasta exploits lanzados contra Object Graph Navigation Libraries (OGNL). Incluso incluye ataques directos contra servidores mediante técnicas de inyección de comandos del SO. La versatilidad de las vulnerabilidades de inyección para los atacantes, por no mencionar la cantidad de lugares que podrían ser atacados, ha mantenido a esta categoría en el primer puesto durante muchos años.

Pero el rey de la inyección ha caído. Larga vida al rey.

¿Significa eso que por fin hemos resuelto el problema de las vulnerabilidades de inyección? Ni mucho menos. No ha caído mucho desde su posición como enemigo número uno de la seguridad, solo hasta el número tres en la lista OWASP. Sería un error subestimar los peligros continuos de los ataques de inyección, pero el hecho de que otra categoría de vulnerabilidad haya sido capaz de superarla es significativo, porque demuestra lo extendido que está realmente el nuevo líder de OWASP y por qué los desarrolladores deben prestarle mucha atención de cara al futuro.

Quizás lo más interesante, sin embargo, es que el OWASP Top 10 2021 refleja una revisión significativa, con nuevas categorías que hacen su debut: Diseño Inseguro, Fallos de Integridad de Software y Datos, y una entrada basada en los resultados de una encuesta comunitaria: Falsificación de Peticiones del Lado del Servidor (SSRF). Esto apunta a un enfoque creciente en las vulnerabilidades arquitectónicas, yendo más allá de los errores superficiales como punto de referencia en la seguridad del software.

El control de acceso roto se lleva la corona (y revela una tendencia)

El control de acceso roto pasó del quinto puesto en la lista de las diez principales vulnerabilidades de OWASP hasta la actual posición número uno. Al igual que con la inyección y las nuevas entradas como el diseño inseguro, la vulnerabilidad de acceso roto abarca una amplia gama de fallos de codificación, lo que aumenta su dudosa popularidad, ya que colectivamente permiten causar daños en múltiples frentes. La categoría incluye cualquier caso en el que se puedan violar las políticas de control de acceso para que los usuarios puedan actuar fuera de sus permisos previstos.

Algunos ejemplos de control de acceso roto citados por OWASP al elevar esta familia de vulnerabilidades al primer puesto incluyen aquellos que permiten a los atacantes modificar una URL, el estado interno de una aplicación o parte de una página HTML. También podrían permitir a los usuarios cambiar su clave de acceso principal para que una aplicación, sitio o API crea que son otra persona, como un administrador con privilegios más altos. Incluso incluye vulnerabilidades en las que los atacantes no tienen restricciones para modificar metadatos, lo que les permite cambiar elementos como tokens web JSON, cookies o tokens de control de acceso.

Una vez explotada, esta familia de vulnerabilidades puede ser utilizada por los atacantes para eludir las autorizaciones de archivos u objetos, lo que les permite robar datos o incluso realizar funciones destructivas a nivel de administrador, como eliminar bases de datos. Esto hace que el control de acceso roto sea críticamente peligroso además de ser cada vez más común.

Es bastante convincente, aunque no sorprendente, que las vulnerabilidades de autenticación y control de acceso se estén convirtiendo en el terreno más fértil para que los atacantes las exploten. El último Informe de Investigaciones de Violación de Datos de Verizon revela que los problemas de control de acceso son frecuentes en casi todos los sectores, especialmente en TI y salud, y que un impresionante 85% de todas las brechas involucraron un elemento humano. Ahora bien, el "elemento humano" cubre incidentes como ataques de phishing, que no son un problema de ingeniería, pero el 3% de las brechas sí involucraron vulnerabilidades explotables y, según el informe, fueron predominantemente vulnerabilidades antiguas y causadas por error humano, como una configuración de seguridad incorrecta.

Si bien esos errores de seguridad decrépitos como XSS e inyección SQL siguen haciendo tropezar a los desarrolladores, cada vez es más evidente que el diseño de seguridad central está fallando, dando paso a vulnerabilidades arquitectónicas que pueden ser muy ventajosas para un actor de amenazas, especialmente si no se parchean después de que la falla de seguridad en una versión particular de una aplicación se haga pública.

El problema es que pocos ingenieros reciben formación y desarrollo de habilidades que vayan más allá de lo básico, y menos aún ven su conocimiento y aplicación práctica expandidos más allá de los errores localizados a nivel de código que, por lo general, son introducidos por los propios desarrolladores.

Prevenir los errores que los robots rara vez encuentran

La familia recién agrupada de vulnerabilidades de control de acceso roto es bastante diversa. Puedes encontrar algunos ejemplos específicos de controles de acceso rotos y cómo detenerlos en nuestro canal de YouTube y nuestro blog.

Sin embargo, creo que es importante celebrar este nuevo OWASP Top 10; de hecho, es más variado y abarca una gama más amplia de vectores de ataque que incluyen aquellos que los escáneres no necesariamente detectarán. Por cada debilidad a nivel de código encontrada, fallos arquitectónicos más complejos pasarán desapercibidos para la mayoría de la pila tecnológica de seguridad, sin importar cuántos escudos y armas automatizados haya en el arsenal. Si bien la mayor parte de la lista OWASP Top 10 todavía se compila en función de los datos de escaneo, las nuevas entradas que cubren el diseño inseguro y los fallos de integridad de datos, entre otros, muestran que los horizontes de formación para los desarrolladores deben expandirse rápidamente para lograr lo que los robots no pueden.

En pocas palabras, los escáneres de seguridad no son buenos modeladores de amenazas, pero un equipo de desarrolladores con conocimientos de seguridad puede ayudar al equipo de AppSec inmensamente al aumentar su coeficiente intelectual de seguridad en línea con las mejores prácticas, así como con las necesidades del negocio. Esto debe tenerse en cuenta en un buen programa de seguridad, entendiendo que, si bien el OWASP Top 10 es una excelente base, el panorama de amenazas es tan acelerado (por no mencionar las demandas de los objetivos de desarrollo internos) que debe haber un plan para profundizar y ser más específico con la mejora de las habilidades de seguridad de los desarrolladores. No hacerlo conducirá inevitablemente a perder oportunidades de remediar a tiempo y obstaculizará un enfoque holístico exitoso para la ciberseguridad preventiva liderada por humanos.

‍

Estamos listos para el OWASP Top 10 2021, ¡y eso es solo el comienzo! Inicia a tus desarrolladores en una ruta de habilidades de seguridad elevadas hoy mismo.