Menú

Las 20 principales vulnerabilidades de seguridad de SANS en aplicaciones de software

  • Principal
  • Otro
  • Las 20 principales vulnerabilidades de seguridad de SANS en aplicaciones de software

sans top 20 security vulnerabilities software applications

Pruebe Nuestro Instrumento Para Eliminar Los Problemas

Conozca y comprenda las 20 principales vulnerabilidades de seguridad críticas de SANS en aplicaciones de software con ejemplos en este tutorial:

La palabra SIN QUE no es solo una palabra ordinaria del diccionario, sino que significa SysAdmin , Auditoría , La red , y Seguridad .

En este tutorial, aprenderemos sobre las 20 principales debilidades de seguridad de SANS que podemos encontrar en los programas de software y qué podemos hacer para mitigarlas.

Vulnerabilidades de seguridad de SANS

Lo que vas a aprender:

Impacto de las SAN en la comunidad de ciberseguridad

De acuerdo a SIN QUE , la SIN QUE Institute se estableció como una organización de investigación y educación. Sus diversos programas de seguridad son muy completos y están teniendo un efecto positivo en más de 165.000 profesionales de la seguridad en todo el mundo.

Podemos decir con razón que con este tipo de cobertura proveniente de SANS y otras revisiones positivas que obtienen, los convierte en la organización más confiable y, con mucho, la más grande para la capacitación de InfoSec y diversas certificaciones de seguridad en el mundo.

Este artículo se centrará en los 20 errores principales de SANS que pueden hacer que su software sea vulnerable a ataques y en algunos de los controles de seguridad que puede implementar para mitigar estos errores. Aunque podemos encontrar más de 20, discutiremos las 20 principales vulnerabilidades.

Lista de las 20 principales vulnerabilidades críticas en software de SANS

  1. CWE-119 : Error de búfer de memoria
  2. CWE-79 : Secuencias de comandos entre sitios
  3. CWE-20 : Error de entrada no validado
  4. CWE-200 : Error de exposición de información sensible
  5. CWE-125 : Error de lectura fuera de límites
  6. CWE-89 : Inyección SQL
  7. CWE-416 : Error de memoria libre
  8. CWE-190 : Error de desbordamiento de enteros
  9. CWE-352 : Falsificación de solicitudes entre sitios
  10. CWE-22 : Recorrido de directorio
  11. CWE-78 : Inyección de comandos del sistema operativo
  12. CWE-787 : Error de escritura fuera de los límites
  13. CWE-287 : Error de autenticación inadecuado
  14. CWE-476 : Desreferenciación del puntero NULL
  15. CWE-732 : Asignación de permisos incorrecta
  16. CWE-434 : Carga de archivos sin restricciones
  17. CWE-611 : Exposición de información a través de entidades XML
  18. CWE-94 : Inyección de código
  19. CWE-798 : Clave de acceso codificada
  20. CWE-400 : Consumo incontrolado de recursos

¿Qué significa el término CWE?

los Enumeración de debilidades comunes (CWE) es una lista aceptada por la comunidad de vulnerabilidades de software y hardware con un código de identificación asignado para cada debilidad. El objetivo es identificar varias fallas en el software y el hardware para poder corregir y mitigar todas esas fallas.

# 1) CWE-119: Error de búfer de memoria

Esta falla generalmente se introduce durante las etapas de Arquitectura y Diseño, Implementación y Operación del SDLC.

Este desbordamiento del búfer ocurre cuando un proceso de aplicación intenta almacenar más datos de los que puede contener en la memoria. Dado que los búferes solo pueden almacenar algún nivel de datos y cuando ese nivel se alcanza y se excede, los datos fluyen a otra ubicación de memoria que puede corromper los datos ya contenidos en ese búfer.

Este incidente a veces ocurre accidentalmente debido a algún error de programación, pero el efecto secundario podría ser desastroso, ya que esto puede borrar datos, robar información confidencial e incluso toda la aplicación podría fallar debido a este desbordamiento del búfer.

El siguiente ejemplo muestra un búfer asignado con 8 bytes de almacenamiento. Pero se desbordó en 2bytes debido a que se enviaron más datos para su ejecución.

Error de búfer de memoria

(imagen fuente )

# 2) CWE-79: Scripting entre sitios

Cross-site Scripting (XSS) es un ataque de inyección que generalmente ocurre cuando un actor malintencionado o un atacante inyecta un script malicioso o dañino en una aplicación web que se puede ejecutar a través de los navegadores web. Una vez que el script malicioso encuentra su camino hacia el sistema comprometido, puede usarse para realizar diferentes actividades maliciosas.

Algunas de las actividades maliciosas pueden ser en forma de transferencia de información privada como cookies que tienen la información de la sesión desde la computadora de la víctima a la computadora del atacante.

Ocurrencia de secuencias de comandos entre sitios:

formas de ver anime gratis
  • Cuando se ingresan datos no validados y no confiables en una aplicación web a través de la solicitud del formulario web.
  • Cuando la aplicación web genera instantáneamente una página web que contiene estos datos maliciosos.
  • Durante el proceso de generación de una página, el software no se valida con los datos, que albergan el contenido que puede ser ejecutado por un navegador web, como HTML y JavaScript.
  • La víctima, sin saberlo, visita la página que se generó a través de un navegador web, que alberga el script malicioso que se inyectó mediante el uso de datos no confiables.
  • El script malicioso proviene de una página que fue enviada por el servidor web del atacante, el navegador web del sistema comprometido sigue adelante para procesar el script malicioso.
  • Esta acción viola la política del navegador web sobre el mismo origen, que estipula que las secuencias de comandos que provienen de un dominio no deben tener acceso a recursos ni ejecutar código en otro dominio diferente, excepto en su propio dominio.

Ocurrencia de secuencias de comandos entre sitios

(imagen fuente )

# 3) CWE-20: Error de entrada no validado

La aplicación recibe información, pero no la valida, si tiene todos los detalles necesarios para que sea aceptada en el sistema para su procesamiento.

Cuando hay una desinfección de entrada, esto se puede usar para verificar cualquier entrada potencialmente peligrosa con el fin de garantizar que las entradas sean seguras para ser procesadas con el código fuente o cuando sea una entrada que se necesite para comunicarse con otros componentes.

Cuando dichas entradas no se desinfectan o validan adecuadamente, esto allanará el camino para que un atacante envíe una entrada maliciosa que la aplicación principal procesará generosamente y esto dará lugar a cambios en el flujo de control, control arbitrario de un recurso o código arbitrario. ejecución.

Las siguientes imágenes muestran que una buena aplicación no debería aceptar un script o comando como entrada. Si dichas entradas no se desinfectan adecuadamente, la aplicación lo procesará pensando que es una solicitud válida.

aporte

Error de entrada no validado

(imagen fuente )

# 4) CWE-200: Error de exposición de información sensible

Esto sucede cuando la aplicación, consciente o inconscientemente, expone información confidencial y sensible a un atacante que no tiene la autorización para acceder a esta información.

Diferentes errores llevan a que esta información sea expuesta a un atacante. La gravedad de este error varía según el contexto en el que opera la aplicación, el tipo de información sensible que se revela y lo que el actor puede obtener de la información expuesta.

A continuación, se muestra información confidencial que podría estar expuesta:

  • Información personal como mensajes personales, datos financieros, registros de estado de salud, ubicación geográfica o detalles de contacto
  • Detalles de configuración del sistema y entorno, por ejemplo, el sistema operativo y los paquetes instalados
  • Registro comercial y propiedad intelectual
  • Detalles de configuración de red
  • Estado de la aplicación interna
  • Metadatos como los encabezados de los mensajes

A veces, puede haber problemas técnicos como errores de conectividad de la base de datos, errores de tiempo de ejecución y errores de red en nuestras aplicaciones o sitios web.

Si dichos errores no se manejan adecuadamente durante el desarrollo, es decir, cuando la aplicación muestra el mensaje de error, podría mostrar información al público que un atacante podría usar con fines maliciosos como la imagen a continuación.

Error del Servidor

# 5) CWE-125: Error de lectura fuera de límites

Esto suele ocurrir cuando la aplicación lee datos más allá del nivel normal, ya sea hasta el final o antes del comienzo del búfer. Esto le da acceso sin privilegios a un atacante para leer información confidencial de otras ubicaciones de memoria, lo que también puede provocar un bloqueo del sistema o de la aplicación.

Ciertamente ocurrirá un bloqueo cuando el código lea datos y piense que hay un indicador que detiene la operación de lectura como un NULL que se aplica a una cadena

En el siguiente código, la función recupera un valor de una ubicación de índice de matriz, que a su vez es el parámetro de entrada de la función.

Error de lectura fuera de límites

(imagen fuente )

En el código anterior, podemos ver que la función verifica que el índice de matriz dado es menor que la longitud máxima de la matriz, pero no se valida para el valor mínimo.

Esta desvalidación conducirá a la aceptación de un valor negativo como índice de matriz de entrada, lo que provocará una lectura fuera de los límites, que a su vez da acceso a la memoria sensible.

Es necesario verificar el índice de la matriz de entrada si está dentro del rango máximo y mínimo requerido para la matriz.

Si ahora verifica el siguiente ejemplo, verá que la declaración IF debe modificarse para incluir una validación de rango mínimo.

validación de rango mínimo

# 6) CWE-89: Inyección SQL

inyección SQL es una forma de vulnerabilidad de seguridad mediante la cual el atacante inyecta un código de lenguaje de consulta estructurado (SQL) en el cuadro de entrada del formulario web para obtener acceso a los recursos o cambiar los datos a los que no está autorizado el acceso.

Esta vulnerabilidad puede introducirse en la aplicación durante las etapas de diseño, implementación y operación.

Lo que hace esta consulta SQL es realizar una solicitud no autorizada a la base de datos para obtener cierta información. En una operación de entrada normal, se utiliza un formulario web para la autenticación del usuario. Cuando un usuario ingresa su nombre y contraseña en los cuadros de texto, estos valores se insertan en una consulta SELECT.

Si los valores de entrada son correctos, se le concede acceso al usuario a la aplicación o solicitud, pero si los valores son incorrectos, se le denegará el acceso.

Hoy en día, algunos formularios web no tienen mecanismos para bloquear entradas maliciosas. Un atacante puede usar los cuadros de entrada para enviar solicitudes maliciosas a la base de datos. Esta única solicitud puede otorgarles acceso a toda la base de datos que puede contener información confidencial.

Inyección SQL

# 7) CWE-416: Memoria previamente liberada

Este problema se debe a la referencia de la memoria después de su lanzamiento, lo que puede provocar un bloqueo del programa. Cuando utiliza una memoria liberada anteriormente, esto puede tener consecuencias adversas, como la corrupción de datos válidos, la ejecución de código arbitrario que depende de la sincronización del error.

Dos causas comunes son:

  • Condiciones de error dentro del software y en algunos otros casos excepcionales.
  • No hay explicación sobre qué parte del programa causó la memoria libre.

En este caso, la memoria se asigna a otro puntero inmediatamente después de que se haya liberado. El puntero anterior a la memoria liberada se usa nuevamente y ahora apunta a algún lugar alrededor de la nueva asignación. En el momento en que se cambian los datos, esto puede dañar la memoria utilizada y podría hacer que la aplicación se comporte de una manera indefinida.

# 8) CWE-190: Error de desbordamiento de enteros

Cuando una aplicación procesa un cálculo y existe la suposición lógica de que el valor resultante será mayor que el valor exacto, se produce un desbordamiento de enteros. Aquí, un valor entero aumenta a un valor que no se puede almacenar en una ubicación.

Cuando esto sucede, el valor normalmente se ajustará para convertirse en un valor muy pequeño o negativo. Si se espera el ajuste, está bien, pero puede haber consecuencias de seguridad si el ajuste es inesperado. Cuando ocurre este escenario, podría calificarse de crítico ya que el resultado se usa para administrar los bucles, la decisión de seguridad, se usa para asignar memoria y muchos más.

Esta debilidad generalmente conducirá a un comportamiento errático y puede provocar accidentes. Si el valor es importante para los datos que para fluir, entonces puede ocurrir una simple corrupción de datos. Pero si la reinicialización conduce a condiciones adicionales, como desbordamientos de búfer, es posible que se produzcan daños en la memoria.

Este problema puede desencadenar desbordamientos de búfer, que un atacante puede usar para ejecutar código arbitrario. Este error de desbordamiento de enteros generalmente se introduce en el sistema durante las etapas de diseño e implementación del SDLC.

Desbordamiento de enteros

# 9) CWE-352: Falsificación de solicitudes entre sitios

Esto es cuando una aplicación web no verifica suficientemente la solicitud HTTP, ya sea que la solicitud provenga del usuario correcto o no. Los servidores web están diseñados para aceptar todas las solicitudes y darles una respuesta.

Supongamos que un cliente envía varias solicitudes HTTP en una o varias sesiones. Es muy difícil para un servidor web saber si todas las solicitudes eran auténticas o no, y generalmente se procesa. Un atacante puede tener su forma de obligar a un cliente a visitar una página web especialmente diseñada y ahora puede realizar algunas solicitudes como transferencia de fondos, cambiar su dirección de correo electrónico y muchas más.

Inmediatamente, un atacante tiene acceso y podrá robar datos e incluso destruirlos. Siempre pueden mantener su acceso y cuando terminan, pueden comprometer el registro de auditoría para evitar cualquier análisis forense futuro que pueda exponer su vulnerabilidad.

La siguiente imagen muestra a un atacante que induce a un usuario a realizar acciones que no tiene la intención de realizar.

CrossSite

# 10) CWE-22: Cruce de directorios

El cruce de directorio o ruta de archivo es una vulnerabilidad de seguridad web que permite a un atacante leer archivos arbitrarios en el servidor que actualmente ejecuta una aplicación.

Estos archivos pueden ser un código de aplicación, credenciales para sistemas back-end y archivos del sistema operativo. En algún otro escenario, un atacante podría escribir en estos archivos arbitrarios en el servidor, lo que podría permitirle modificar los datos o el comportamiento de la aplicación, y esto le dará el control total del servidor.

El recorrido

(imagen fuente )

# 11) CWE-78: Inyección de comandos del sistema operativo

Se trata de la desinfección inadecuada de elementos especiales que pueden conducir a la modificación del comando del sistema operativo que se envía a un componente posterior. Un atacante puede ejecutar estos comandos maliciosos en un sistema operativo de destino y puede acceder a un entorno al que se suponía que no debía leer ni modificar.

Esto invariablemente permitiría a un atacante ejecutar comandos peligrosos directamente en el sistema operativo.

Siempre que esta vulnerabilidad ocurre en un programa privilegiado, le permite al atacante utilizar comandos que están permitidos en el entorno o llamar a otros comandos con privilegios que el atacante no tiene, lo que podría aumentar la cantidad de daño que podría ocurrir.

CommandInjection

# 12) CWE-787: Error de escritura fuera de límites

Esto sucede cuando la aplicación escribe datos más allá del final o antes del comienzo del búfer designado.

Cuando esto sucede, el resultado final suele ser la corrupción de datos, el sistema o el bloqueo de la aplicación. Lo que hace la aplicación es una especie de aritmética de puntero que se utiliza para hacer referencia a una ubicación de memoria fuera de los límites del búfer.

# 13) CWE-287: Error de autenticación incorrecto

Esto es cuando un atacante afirma tener una identidad válida pero el software no pudo verificar o prueba que la afirmación es correcta.

Un software valida la información de inicio de sesión de un usuario de forma incorrecta y, como resultado, un atacante podría obtener ciertos privilegios dentro de la aplicación o revelar información confidencial que les permita acceder a datos confidenciales y ejecutar código arbitrario.

# 14) CWE-476: Desreferenciación de un puntero NULL

Desreferenciar un puntero nulo es cuando la aplicación elimina la referencia de un puntero que se suponía que debía devolver un resultado válido, en su lugar, devuelve NULL y esto conduce a un bloqueo. Desreferenciar un puntero nulo puede ocurrir debido a muchas fallas como condiciones de carrera y algún error de programación.

Los procesos que se realizan con la ayuda del puntero NULL generalmente conducen a fallas, y la posibilidad de realizar el proceso es muy reducida. Esto ayuda a los atacantes a ejecutar código malicioso.

Puntero nulo

(imagen fuente )

# 15) CWE-732: Asignación de permisos incorrecta

Esta vulnerabilidad ocurre cuando una aplicación asigna permisos a un recurso muy importante y crítico de tal manera que expone el recurso al acceso de un usuario malintencionado.

Cuando otorgas permiso a muchas personas sobre un recurso, esto podría llevar a que un atacante exponga o modifique información confidencial. Si no hay comprobaciones contra este tipo de enfoque para la asignación de permisos a los recursos, puede conducir a un final muy desastroso si la configuración del programa o algunos datos confidenciales caen en manos equivocadas.

# 16) CWE-434: Carga de archivos sin restricciones

Esta vulnerabilidad ocurre cuando la aplicación no valida los tipos de archivo antes de cargar archivos a la aplicación. Esta vulnerabilidad es independiente del lenguaje, pero generalmente ocurre en aplicaciones escritas en lenguaje ASP y PHP.

Un tipo de archivo peligroso es un archivo que se puede procesar automáticamente dentro del entorno de la aplicación.

El siguiente programa muestra una carga de un archivo PHP. El tipo de archivo no se verificó ni se validó antes de cargarlo en el directorio webroot. Como resultado de esta debilidad, un atacante puede cargar un archivo PHP arbitrario y ejecutarlo accediendo directamente al archivo cargado.

carga de un archivo PHP

archivo PHP arbitrario

# 17) CWE-611: Exposición de información a través de entidades XML

Cuando se carga un documento XML en una aplicación para su procesamiento y este documento contiene entidades XML con un identificador de recursos uniforme que se resuelve en otro documento en otra ubicación diferente de la ubicación prevista. Esta anomalía puede hacer que la aplicación adjunte documentos incorrectos en su salida.

Los documentos XML a veces contienen una definición de tipo de documento (DTD), que se utiliza para definir las entidades XML y otras características. A través de la DTD, el identificador uniforme de recursos puede servir como una forma de cadena de sustitución. Lo que hará el analizador XML es acceder a lo que está contenido en el identificador uniforme de recursos e ingresar estos contenidos nuevamente en el documento XML para su ejecución.

InfoExposición

(imagen fuente )

# 18) CWE-94: Inyección de código

La existencia de sintaxis de código en los datos del usuario aumenta la posibilidad del atacante de cambiar el comportamiento de control planificado y ejecutar código arbitrario. Esta vulnerabilidad se conoce como 'debilidades de inyección' y esta debilidad podría hacer que un control de datos se convierta en controlado por el usuario.

Esta vulnerabilidad representa un escenario en el que el software permite la entrada de datos que no son de confianza en el código y no realiza la validación de caracteres especiales que pueden influir negativamente tanto en el comportamiento del segmento de código como en la sintaxis.

En resumen, un atacante podría inyectar algún tipo de código arbitrario y ejecutarlo dentro de la aplicación. El siguiente código PHP muestra el uso de la función eval () en datos que no son de confianza. En el código siguiente, un atacante puede pasar al código el código arbitrario del parámetro 'param' que luego se ejecutará en el software.

Inyección de código

El siguiente ejemplo explica la llamada al phpinfo () función. Esta vulnerabilidad se puede aprovechar aún más para ejecutar comandos arbitrarios del sistema operativo en el software de destino a través de la llamada al sistema ().

llamar a la función phpinfo ()

# 19) CWE-798: Clave de acceso codificada

Esto es cuando la contraseña y la clave de acceso están codificadas en la aplicación directamente para fines de autenticación entrante y comunicación saliente a algunos componentes externos y para el cifrado de datos internos. Los detalles de inicio de sesión codificados generalmente causan una vulnerabilidad que allana el camino para que un atacante eluda la autenticación que ha sido configurada por el administrador del software.

Al administrador del sistema siempre le resultará muy difícil detectar esta vulnerabilidad y solucionarla.

Hay dos corrientes principales de esta debilidad:

  • Entrante : La aplicación contiene un sistema de autenticación que valida las credenciales de entrada con los detalles codificados.
  • Saliente : La aplicación se conecta a otro sistema y los detalles para conectarse al otro sistema están codificados en el sistema.

En el flujo de entrada, siempre se crea una cuenta de administrador predeterminada, y las credenciales para acceder a ella estarán codificadas en la aplicación y asociadas con esa cuenta de administrador predeterminada.

Los detalles codificados de forma rígida suelen ser los mismos en todas las instalaciones de la aplicación, y nadie puede cambiarlos ni desactivarlos. Incluso los administradores del sistema no tienen el derecho, excepto que pueden modificar manualmente la aplicación. Si la contraseña alguna vez se revela al público, entonces un atacante puede tener acceso a toda la aplicación y manipularla para su propio beneficio.

Dado que todas las instalaciones de la aplicación tienen la misma contraseña, incluso cuando se instalan en organizaciones separadas, esto puede causar ataques muy masivos en todas las fronteras de la organización. por ejemplo, inyectando un gusano en la aplicación que se esparcirá.

El flujo de salida solo se aplica a los sistemas front-end que se autentican con un servicio back-end. El servicio de back-end puede requerir un código fijo o una contraseña fija que se puede descubrir fácilmente. Lo que hace el programador es simplemente codificar esas credenciales de back-end en el software de front-end. Cualquier usuario de esa aplicación puede extraer la contraseña.

Cualquier software del lado del cliente en el que la contraseña y la clave de acceso están codificadas de forma rígida, por lo general representa más amenaza que los que no están codificadas, porque la extracción de una contraseña de un binario suele ser muy fácil de lograr.

# 20) CWE-400: Consumo incontrolado de recursos

Esta vulnerabilidad ocurre cuando la aplicación no controla adecuadamente la asignación y el mantenimiento de un recurso limitado, esto permite que un atacante pueda influir en la cantidad de recursos consumidos, lo que eventualmente conducirá al agotamiento de los recursos disponibles.

Parte de los recursos limitados incluye memoria, almacenamiento del sistema de archivos, entradas del grupo de conexiones de la base de datos y CPU.

Supongamos que un atacante puede activar la asignación de estos recursos limitados y no se controla la cantidad o el tamaño de los recursos, entonces el atacante podría causar el caos a través de la denegación de servicio que consume todos los recursos disponibles.

Cuando esto sucede, evitaría que los usuarios válidos accedan a la aplicación, lo que invariablemente tendrá un impacto negativo en el medio ambiente. Por ejemplo, cuando la memoria de la aplicación sufre un ataque de agotamiento, esto podría ralentizar toda la aplicación, así como el sistema operativo host.

Las tres instancias diferentes que pueden conducir al agotamiento de los recursos son:

  • Escasez de limitación para la cantidad de recursos asignados
  • Perder todas las referencias a un recurso antes de llegar a la etapa de cierre
  • No cerrar / devolver un recurso después del procesamiento

El problema del agotamiento de los recursos suele ser el resultado de una implementación incorrecta de los siguientes escenarios:

  • Condiciones de error y otras circunstancias excepcionales.
  • Existe una reacción mixta sobre qué parte del programa libera el recurso.

El siguiente ejemplo ayuda a demostrar la naturaleza de esta vulnerabilidad y describe los métodos que se pueden utilizar para mitigar el riesgo.

El siguiente ejemplo explica la vulnerabilidad:

Consumo incontrolado de recursos

(imagen fuente )

Este programa no rastrea cuántas conexiones se han realizado y no limita la cantidad de conexiones disponibles. La bifurcación es solo una de las formas que utiliza un atacante para hacer que el sistema se quede sin CPU, procesos o memoria al realizar una gran cantidad de conexiones.

Lo que hace un atacante es consumir todas las conexiones disponibles, evitando que otros accedan al sistema de forma remota.

Preguntas frecuentes

P # 1) ¿Qué significa SANS?

Responder: SANS son las siglas de SysAdmin, Audit, Network y Security.

P # 2) Incluya algunos ejemplos de vulnerabilidades.

Respuesta: Los ejemplos son los siguientes:

  • Vulnerabilidades de software
  • Vulnerabilidades de firewall
  • Vulnerabilidades de la red
  • Vulnerabilidades del sistema operativo
  • Vulnerabilidades del servidor web
  • Vulnerabilidades de la base de datos

P # 3) ¿Cuál es la diferencia entre amenazas y vulnerabilidades?

Responder: Amenaza es la posibilidad de realizar un acto malicioso o no deseado en un intento de dañar un sistema informático o una aplicación a través de vulnerabilidades existentes en el sistema. Ejemplo: Secuestro de datos.

Vulnerabilidades son debilidades que existen dentro de un sistema que podrían haber permitido el acceso no deseado o no autorizado de un atacante para infiltrar daños en una organización. Ejemplo: Mala configuración del firewall.

P # 4) ¿Cuáles son las vulnerabilidades más comunes?

Respuesta: Estos son los siguientes:

  • Inyección SQL
  • Secuencias de comandos entre sitios
  • Mala configuración de seguridad
  • Exposición de datos sensibles
  • Autenticación rota
  • Gestión de sesiones

Conclusión

Esta lista de las 20 principales vulnerabilidades de SANS no es una regla o política, sino una guía para ayudarnos a evitar vulnerabilidades de software. Ya sea que seamos desarrolladores o expertos en seguridad, ahora nos corresponde a nosotros seguir esta guía sobre lo que se puede hacer para evitar cualquier error que pueda generar vulnerabilidades en nuestra aplicación que puedan crear una puerta trasera para que un actor ejecute un acto malicioso.

Lectura recomendada

^