A6: Security Misconfiguration · 2017

Valores predeterminados inseguros, servicios innecesarios, permisos excesivos, mensajes detallados o configuraciones inconsistentes crean superficies explotables.

Resumen

Valores predeterminados inseguros, servicios innecesarios, permisos excesivos, mensajes detallados o configuraciones inconsistentes crean superficies explotables.

Cómo funciona el ataque

Un atacante llega a un servicio innecesariamente expuesto que conserva acceso inseguro por defecto y obtiene control del servicio.

Ejemplo

Vulnerable · Pseudocódigo

admin:
  public: true
  password: admin

Corrección: Desactivar el panel público y eliminar las credenciales predeterminadas.

Prevención

Automatizar una configuración endurecida y repetible en todos los entornos.
Eliminar funciones, cuentas y servicios que no sean necesarios.
Aplicar parches, cabeceras de seguridad y revisiones continuas de configuración.

Linaje

2013 · A5: Security Misconfiguration Baja al puesto 6 en 2017
2017 · A4: XML External Entities (XXE) Se integra en Security Misconfiguration
2017 · A6: Security Misconfiguration Se amplía con XXE en 2021
2021 · A05: Security Misconfiguration Absorbe XXE
2025 · A02: Security Misconfiguration Sube desde el puesto 5

2013:A5 → 2017:A6: Security Misconfiguration baja un puesto.
2017:A6 → 2021:A05: Security Misconfiguration sube un puesto.
2017:A4 → 2021:A05: XXE se integra en Security Misconfiguration.
2021:A05 → 2025:A02: Security Misconfiguration sube del puesto 5 al 2.

Fuentes

Abrir fuente oficial ↗

Invítame un café