¿Qué es OWASP? Introducción a las 10 vulnerabilidades y riesgos principales de OWASP

OWASP Top 10 es una lista ampliamente reconocida de los riesgos de seguridad de aplicação web más críticos. La lista sirve como guía para desarrolladores, profesionales de seguridad y organizaciones a medida que priorizan sus esfuerzos para identificar y mitigar riesgos críticos de seguridad de aplicação web. 

La presencia de un riesgo en la lista OWASP Top 10 no indica necesariamente su prevalencia o gravedad en todas las aplicações web, y el Top Ten no está clasificado en un orden específico o por prioridad.  

Los 10 principales riesgos de seguridad de aplicação web según OWASP para 2021 son:

1. Controles de acceso rotos. Esta vulnerabilidad se produce cuando la aplicación insuficiente de los controles de acceso y la autorización permite a los atacantes acceder a funcionalidades o datos no autorizados. Esto puede deberse a referencias directas a objetos inseguras (IDOR), que pueden surgir cuando una aplicação no logra validar o autorizar la entrada del usuario que se utiliza como referencia directa a un objeto interno. También puede ocurrir debido a la falta de controles de acceso a nivel de función, cuando la aplicação solo valida los controles de acceso en la etapa inicial de autenticación o autorización, pero no aplica consistentemente esos controles en todas las funciones u operaciones de la aplicación. Un firewall de aplicação web (WAF) puede ayudar a protegerse contra estos ataques al monitorear y aplicar controles de acceso para evitar el acceso no autorizado a objetos o recursos confidenciales.

2. Fallos criptográficos. Este riesgo se produce debido a la protección inadecuada de datos sensibles durante el tránsito y en reposo. Las fallas criptográficas pueden provocar violaciones de datos, acceso no autorizado a información confidencial e incumplimiento de las regulaciones de privacidad de datos, como el Reglamento General de Protección de Datos de la UE (GDPR), y estándares financieros como los Estándares de seguridad de datos PCI (PCI DSS). Estas fallas pueden resultar de un almacenamiento criptográfico inseguro, del almacenamiento de datos en texto simple o de una gestión de claves insegura. El riesgo también puede derivar de una fuga de información, que puede tener su origen en la generación de claves débiles o números aleatorios o en fallos en los protocolos criptográficos. 
3. Ataques de inyección. Las fallas de inyección ocurren cuando los atacantes insertan datos no confiables u hostiles en lenguajes de comando o consulta, o cuando la aplicação no valida, filtra o desinfecta los datos proporcionados por el usuario, lo que lleva a la ejecución no intencionada de comandos maliciosos. Esta categoría de riesgo abarca ataques NoSQL, de comandos del sistema operativo, LDAP y de inyección SQL, y también incluye Cross-Site Scripting (XSS) , en el que los atacantes inyectan scripts maliciosos del lado del cliente, como JavaScript, en páginas web vistas por otros usuarios. Esto puede resultar en el robo de información confidencial, como credenciales de inició de sesión, datos personales o cookies de sesión. Un WAF puede ayudar a detectar y bloquear intentos de inyección de código malicioso al inspeccionar y filtrar solicitudes entrantes, incluidas las XSS reflejadas (no persistentes), almacenadas (persistentes) y basadas en módulos de objetos de documento (DOM), evitando que lleguen a la aplicação.
4. Diseño inseguro. Se trata de una categoría amplia que representa diferentes debilidades, expresadas como controles de seguridad faltantes o ineficaces y fallas arquitectónicas. Estas fallas pueden ocurrir cuando una aplicação está diseñada para depender de procesos que son inherentemente inseguros o cuando no se implementan los controles de seguridad necesarios para defenderse contra ataques específicos. Estos riesgos se pueden reducir mediante un mayor uso de modelos de amenazas, patrones de diseño seguros y arquitecturas de referencia.  
5. Configuraciones incorrectas de seguridad. La falta de refuerzo de la seguridad en los marcos de aplicação web, plataformas, servidores o controles de seguridad puede dar lugar a acceso no autorizado, exposición de información confidencial u otras vulnerabilidades de seguridad. Los riesgos debidos a configuraciones de seguridad incorrectas también pueden resultar de permisos configurados incorrectamente en los servicios en la nube o de la instalación o habilitación de funciones innecesarias, como puertos, servicios, cuentas o privilegios no utilizados. La configuración incorrecta de las aplicaciones web y las API es un riesgo importante porque los principales proveedores de la nube tienen distintas posturas de seguridad predeterminadas y la arquitectura cada vez está más descentralizada y distribuida en una estructura de múltiples nubes.    
6. Componentes vulnerables y obsoletos. El uso de componentes obsoletos, sin parches o vulnerables, como bibliotecas, marcos o complementos, puede exponer las aplicações a fallas de seguridad conocidas, lo que aumenta el riesgo de explotación. Estos riesgos pueden resultar de un software no compatible o desactualizado, incluido el sistema operativo (SO), el servidor web/ de aplicação , el sistema de administración de bases de datos (DBMS), las aplicações, las API y todos los componentes, entornos de ejecución y bibliotecas. Estas amenazas son particularmente peligrosas cuando las organizaciones no cuentan con medidas oportunas y basadas en riesgos para reparar o actualizar la plataforma, los marcos y las dependencias subyacentes de un sistema, lo que deja el sistema expuesto a días o semanas de exposición innecesaria a riesgos conocidos. Las cadenas de suministro de software complejas y la automatización a través de canales CI/CD aumentan el riesgo de introducir software vulnerable en la pila de TI. Un WAF puede servir como una medida provisional fundamental para protegerse contra la explotación de vulnerabilidades.  
7. Fallos de identificación y autenticación. Las debilidades en la autenticación, la identidad y la gestión de sesiones pueden permitir a los atacantes comprometer cuentas de usuario, contraseñas, tokens de sesión o explotar un manejo inseguro de sesiones. Las fallas en estas áreas pueden permitir ataques automatizados como el credential stuffing . Las vulnerabilidades relacionadas con las contraseñas son la fuente más común de estos riesgos, ya que muchas personas reutilizan las contraseñas o utilizan contraseñas predeterminadas, débiles o conocidas. Los problemas de gestión de sesiones también pueden dar lugar a ataques relacionados con la autenticación, en particular si las sesiones de usuario o los tokens de autenticación no se invalidan correctamente durante el cierre de sesión o un período de inactividad. Los ataques que eluden los controles de autenticación son un riesgo cada vez mayor tanto para las aplicaciones web como para las API, como se detalla en los proyectos OWASP Top 10, API Security Top 10 y Automated Threats.  
8. Fallos de integridad de software y datos. Estas vulnerabilidades son resultado de códigos y de infraestructuras de aplicação que no protegen contra violaciones de integridad de los datos y del software. Esto puede ocurrir cuando una aplicação depende de complementos, bibliotecas o módulos de fuentes, repositorios y CDN no confiables. También puede ocurrir durante actualizaciones de software, modificaciones de datos confidenciales y cambios en la canalización de CI/CD que no están validados. Los atacantes podrían potencialmente cargar sus propias actualizaciones para distribuirlas y ejecutarlas en todas las instalaciones. La deserialización insegura, donde una aplicação toma datos serializados no confiables y consume esos datos sin asegurarse de que sean válidos, también es parte de esta categoría de riesgo, lo que permite ataques como la ejecución remota de código (RCE) y la escalada de privilegios. 
9. Fallos de registro y monitoreo de seguridad. Un registro y una supervisión inadecuados pueden dificultar la detección y la respuesta oportunas a incidentes de seguridad, lo que dificulta la identificación y mitigación de ataques o actividades no autorizadas. Esto puede significar que los eventos auditables, como inicios de sesión, inicios de sesión fallidos y transacciones de alto valor, no se identifican ni registran, y que las aplicações no detectan ataques activos en tiempo real.  
10. Server-Side Request Forgery (SSRF).Estas vulnerabilidades ocurren cuando una aplicação no valida o desinfecta una URL ingresada por un usuario antes de extraer datos de un recurso remoto. Los atacantes pueden usar estas fallas para obligar a las aplicações a acceder a destinos web maliciosos incluso si están protegidas por un firewall u otra defensa. Estos ataques también pueden ocurrir si el recurso objetivo mantiene relaciones de confianza con otros sistemas, como un servicio de metadatos en la nube o API back-end, lo que permite a un atacante realizar solicitudes a esos servicios de confianza y extraer información sensible o ejecutar acciones no autorizadas.Para ayudar a mitigar SSRF, diseñe sistemas para acceso con el mínimo privilegio y utilice un WAF para definir explícitamente los parámetros del identificador uniforme de recursos (URI) en su política de seguridad y permitir o no permitir los hosts que puedan acceder a ellos.

El Top 10 de OWASP 2021 refleja algunas categorías nuevas y cambios de nombres con respecto al Top 10 de OWASP 2017 anterior. Estos cambios incluyeron la integración de la amenaza de riesgo de 2017 Entidades externas XML (XXE) en la categoría de Configuración incorrecta de seguridad de 2021 y la incorporación de Secuencias de comandos entre sitios (XSS) de 2017 a la categoría de Inyección de 2021. El riesgo de deserialización insegura de 2017 ahora es parte de la categoría de fallas de integridad de datos y software de 2021.