Hoy os presento OWASP, el proyecto abierto de seguridad en aplicaciones Web. Una fundación sin ánimo de lucro dedicada a ayudar a las organizaciones con documentación, herramientas, vídeos, foros, etc.
Según explican ellos:
La fundación OWASP es una entidad sin fines de lucro para asegurar el éxito a largo plazo del proyecto. No está afiliada a ninguna compañía tecnológica, lo que les permite proveer información sobre seguridad en aplicaciones sin sesgos, práctica y efectiva.
Casi todos los asociados con OWASP son voluntarios, incluyendo la junta directiva de OWASP, líderes de capítulos, líderes y miembros de proyectos.
Apoyan la investigación innovadora sobre seguridad a través de becas e infraestructura.
Su proyecto más importante y en el que nos centraremos en este artículo es OWASP TOP 10, un informe que se actualiza cada 3 o 4 años con las 10 vulnerabilidades más importantes, es decir, con más riesgo. Desde la fundación recomiendan que todas las empresas incorporen ese informe en sus procesos para minimizar los riesgos de seguridad.
El último informe publicado es de 2021, aunque es posible que lo actualicen pronto. Lo puedes obtener aquí: OWASP Top 10:2021.
En el informe se pueden ver los cambios con respecto a la versión anterior. Y ver las subidas y bajadas de importancia de las vulnerabilidades más utilizadas.
En el informe de 2021 hay tres nuevas categorías con respecto al anterior (2017) y algunos cambios de nombre y alcance. Estos cambios son debidos a que se han centrado en la causa principal de la vulnerabilidad o riesgo en lugar del síntoma.
Nuevas categorías
A04:2021-Insecure Designe
El diseño inseguro es una categoría nueva enfocada en vulnerabilidades causadas por un mal diseño de la aplicación. Esta vulnerabilidad debe diferenciarse de otras, ya que puede haber un buen diseño con una implementación deficiente que cause diferentes vulnerabilidades.
Por ejemplo, las preguntas de seguridad para recuperar una contraseña (ciudad de nacimiento, nombre de la primera mascota, etc.) no aseguran suficientemente la identidad del usuario. Sin embargo, una vulnerabilidad que permite cambiar el correo de recuperación de una contraseña es un problema de implementación, no de diseño. Las CWE destacadas son CWE-522 (credenciales insuficientemente protegidas) y CWE-266 (incorrecta asignación de permisos).
A10:2021-Server Side Request Forgery (SSRF)
La falsificación de solicitudes del lado del servidor (SSRF) fue la categoría más votada en la encuesta a la comunidad. Similar a cómo el XSS tuvo su propia categoría, ahora el SSRF tiene la suya. Esta vulnerabilidad permite que el servidor haga una solicitud HTTP a un dominio o IP especificada por un atacante.
Esto puede permitir acceso a servicios internos, robo de datos sensibles, escalamiento de privilegios y ejecución remota de código. Esta categoría está descrita en la CWE-918 (Server-Side Request Forgery – SSRF).
Número 1 de la lista
A01:2021-Broken Access Control
La pérdida de control de acceso ha pasado de la quinta (5ª) posición a la primera (1ª) en el ranking debido a que es una de las categorías con mayor incidencia en las aplicaciones testeadas, con un 3,81%, y puede causar un impacto significativo.
Esta categoría se enfoca en garantizar que los usuarios no puedan realizar acciones fuera de sus funciones permitidas. Entre las CWE destacadas se encuentra la CWE-200, que aborda la exposición de información sensible a actores no autorizados.
Más información
Puedes obtener más información en su web owasp.org, donde explican cada una de las vulnerabilidades analizadas. Además podrás obtener más información sobre cómo se clasifican y los motivos de la organización en categorías, así como conocer el listado de fuentes de datos utilizados.