El top 10 de vulnerabilidades en la Web

Durante
el Check Point Security Tour 2005 realizado en la ciudad de México,
se expusieron temas de trascendencia para la seguridad, una de estas presentaciones
fue sobre la Seguridad de Aplicaciones Web, realizada por Pedro Paixao,
gerente SE Latinoamérica de Check Point.

El expositor resaltó las 10 vulnerabilidades más importantes
de la Web. Refirió que todas las debilidades tienen una cosa en
común: son problemas de la propia aplicación y requieren
cambios en la misma.

Otro señalamiento importante es que un firewall o IPS convencional
no protege contra ninguna de éstas y sólo requieren un browser
como herramienta de ataque

.

1)
Vulnerabilidad: No validar Inputs

Descripción: Inputs maliciosos pueden atacar el servidor o componentes
de back-end (ejemplo: base de datos)

Impactos: Control completo sobre el servidor Web, aplicación y/o
base de datos

2) Vulnerabilidad: Control de acceso
mal implementado

Descripción: Puede ser manipulado el usuario y perder el control

Impactos: Permite el acceso a archivos confidenciales, cambio de páginas,
escala privilegios

3) Vulnerabilidad: Administración
de autenticación y

sesiones mal implementadas

Descripción: Sesión o autenticación puede ser obtenida
o adivinada

Impactos: Robo de sesiones de otros usuarios, privilegios de administración

4) Vulnerabilidad: Cross Site Scripting
(XSS)

Descripción: Un script malicioso almacenado por la aplicación
es enviado a la “víctima”

Impactos: Robo de sesiones de otros usuarios, robo de información
confidencial del usuario

5) Vulnerabilidad: Buffer Overflows

Descripción: envío de demasiados datos que puede manipular
la ejecución de código

Impactos: Control completo sobre el servidor Web y/o aplicación

6) Vulnerabilidad: Inyecciones

Descripción: Manipula la evaluación del servidor para ejecutar
comandos

Impactos: Control sobre los sistemas de bases de datos, robo de información,
destrucción del site

7) Vulnerabilidad: Mensajes de Error

Descripción: Pueden revelar demasiada información que compromete
la seguridad

Impactos: Problemas de inferencia e ingeniería reversa, facilitan
la ejecución de otros ataques

8) Vulnerabilidad: Almacenamiento inseguro

Descripción: El usuario almacena datos o utiliza algoritmos de
encriptación “caseros”

Impactos: Robo de información critica de los usuarios y/o

aplicación

9) Vulnerabilidad: Denial of Service

Descripción: Consume todos los recursos, o bloquea

el acceso a cuentas de usuarios

Impactos: No permite el acceso del sitio por parte de usuarios legítimos.

10) Vulnerabilidad: Administración
de configuraciones

inseguras

Descripción: No utiliza estándares de configuraciones seguras

Impactos: ¡La configuración del site es todo!