Vulnerabilidades de seguridad - Cómo se explotan los fallos

Lectura de 2 min aprox.

Una vulnerabilidad es un defecto o punto débil de seguridad presente en el software o en un sistema. Los atacantes explotan estas vulnerabilidades para realizar accesos no autorizados, robo de datos, denegación de servicio y más. Las vulnerabilidades surgen por diversas causas, como fallos de diseño, errores de implementación y configuraciones incorrectas. Se gestionan en bases de datos públicas como CVE (Common Vulnerabilities and Exposures), y el ritmo de descubrimiento de vulnerabilidades se está acelerando: solo en 2024 se registraron más de 30 000 nuevos CVE.

Casos de uso reales

«Un escáner de vulnerabilidades detectó una vulnerabilidad CVSS 9.8 en el servidor Apache de nuestro entorno de producción. Dado que la gravedad permite la ejecución remota de código, hemos formado un equipo de respuesta para completar la aplicación del parche de emergencia en un plazo de 24 horas.»

Antecedentes históricos

La historia de la gestión de vulnerabilidades se remonta al gusano Morris (Morris Worm) de 1988. Aquel incidente dio lugar a la creación del CERT/CC (Computer Emergency Response Team), marcando el inicio de la gestión organizada de vulnerabilidades. En 1999, MITRE creó el sistema CVE, estableciendo un mecanismo para asignar un número de identificación único a cada vulnerabilidad. El Log4Shell de 2021 (CVE-2021-44228) alcanzó la puntuación CVSS máxima de 10.0, afectó a una amplia gama de bibliotecas de Java y obligó a organizaciones de todo el mundo a una respuesta de emergencia. Este incidente volvió a poner de manifiesto la importancia de la gestión de dependencias en el software de código abierto.

Clasificación de las vulnerabilidades

CVSS (Common Vulnerability Scoring System) es un estándar internacional que califica la gravedad de las vulnerabilidades con una puntuación de 0.0 a 10.0. Las vulnerabilidades son de muchos tipos, como el desbordamiento de búfer, la inyección SQL, el XSS y la escalada de privilegios. Una vulnerabilidad de día cero es especialmente peligrosa, ya que se explota antes de que se ponga a disposición un parche de corrección.libros sobre gestión de vulnerabilidades (Amazon) permiten profundizar en este tema.

Medidas como usuario

Un error común es pensar que «mientras tenga instalado un software de seguridad, las vulnerabilidades no son un problema». El software de seguridad detecta el malware conocido, pero no corrige las vulnerabilidades en sí. La medida básica es aplicar con prontitud las actualizaciones del sistema operativo y de las aplicaciones para corregir las vulnerabilidades conocidas. Para prepararse ante el riesgo de que una vulnerabilidad se explote y filtre tus contraseñas, es importante establecer una contraseña aleatoria única para cada servicio.libros sobre operaciones de seguridad (Amazon) también son una referencia útil.