A08:2021 – Fallas en el Software y en la Integridad de los Datos

Question 1

Cuales son los CWE destacados para la vulnerabilidad Fallas en el Software y en la Integridad de los Datos

Answer 1

• CWE-829: Inclusión de funcionalidades provenientes de fuera de la zona de confianza
• CWE-494: Ausencia de verificación de integridad en el código descargado
• CWE-502: Deserialización de datos no confiables

Question 2

En que se centra la vulnerabilidad de Fallas en el Software y en la Integridad de los Datos?

Answer 2

Se centra en hacer suposiciones relacionadas con las actualizaciones de software, los datos críticos y los pipelines de CI/CD sin verificación de integridad. Corresponde a uno de los mayores impactos según los sistemas de ponderación de vulnerabilidades

Question 3

De que trata Fallas en el Software y en la Integridad de los Datos?

Answer 3

Los fallos de integridad del software y de los datos están relacionados con código e infraestructura no protegidos contra alteraciones (integridad)

Question 4

Como se previe la vulnerabilidad de Fallas en el Software y en la Integridad de los Datos?

Answer 4

• Utilice firmas digitales o mecanismos similares para verificar que el software o datos provienen efectivamente de la fuente esperada y no fueron alterados.
• Asegúrese que las bibliotecas y dependencias, tales como npm o maven son utilizadas desde repositorios confiables. Si su perfil de riesgo es alto, considere alojarlas en un repositorio interno cuyo contenido ha sido previamente analizado.
• Asegúrese que se utilice una herramienta de análisis de componentes de terceros, cómo OWASP Dependency Check u OWASP CycloneDX, con el fin de verificar la ausencia de vulnerabilidades conocidas.
• Asegúrese que se utilice un proceso de revisión de cambios de código y configuraciones para minimizar las posibilidades de que código o configuraciones maliciosas sean introducidos en su pipeline.
• Asegúrese que su pipeline CI/CD posee adecuados controles de acceso, segregación y configuraciones que permitan asegurar la integridad del código a través del proceso de build y despliegue.
• Asegúrese que datos sin cifrar o firmar no son enviados a clientes no confiables sin alguna forma de verificación de integridad o firma electrónica con el fin de detectar modificaciones o la reutilización de datos previamente serializados.

Question 5

A que vulnerabilidad pertenece elñ siguiente ejemplo?

Actualizaciones no firmadas: Muchos routers domésticos, decodificadores de televisión, firmware de dispositivos, entre otros, no verifican las firmas de sus actualizaciones de firmware. El firmware sin firmar es un objetivo creciente para los atacantes y se espera que empeore. Esto es una gran preocupación, ya que muchas veces no existe otro mecanismo para remediarlo que corregirlo en una versión futura y esperar a que las versiones anteriores caduquen.

Answer 5

Fallas en el Software y en la Integridad de los Datos

Question 6

A que vulnerabilidad pertenece elñ siguiente ejemplo?

Actualización maliciosa de SolarWinds: Se sabe que los Estados-Naciones utilizan como vector de ataque los mecanismos de actualización, siendo un caso reciente de pública notoriedad el sufrido por SolarWinds Orion. La compañía que desarrolla el software poseía procesos seguros de construcción y mecanismos de integridad en sus actualizaciones. Sin embargo, estos fueron comprometidos y, durante varios meses, la firma distribuyó una actualización maliciosa a más de 18.000 organizaciones, de las cuales alrededor de un centenar se vieron afectadas. Se trata de una de las brechas de este tipo de mayor alcance y más importantes de la historia.

Answer 6

Fallas en el Software y en la Integridad de los Datos

Question 7

A que vulnerabilidad pertenece elñ siguiente ejemplo?

Deserialización insegura: Una aplicación React utiliza un conjunto de microservicios implementados en Spring Boot. Tratándose de programadores funcionales, intentaron asegurarse de que su código fuera inmutable. La solución implementada consistió en serializar el estado de la sesión para el usuario y enviarlo entre los componentes con cada solicitud. Un atacante advierte el uso de un objeto Java serializado y codificado en base64 (identifica un string que comienza con “rO0”) y utiliza la herramienta Java Serial Killer para obtener una ejecución remota de código en el servidor de aplicación.

Answer 7

Fallas en el Software y en la Integridad de los Datos

Question 8

Cual es el top de Fallas en el Software y en la Integridad de los Datos?

Answer 8

8