A9: Using Components with Known Vulnerabilities · 2017

Dependencias, frameworks o componentes vulnerables y obsoletos heredan fallos conocidos y amplían la superficie de ataque de la aplicación.

Resumen

Dependencias, frameworks o componentes vulnerables y obsoletos heredan fallos conocidos y amplían la superficie de ataque de la aplicación.

Cómo funciona el ataque

La aplicación conserva una dependencia con un fallo conocido; las peticiones llegan a ese componente sin aplicar la actualización disponible.

Ejemplo

Vulnerable · Pseudocódigo

# CVE-2017-5638 (Jakarta Multipart)
struts2-core = 2.5.10
# Actualización de seguridad pendiente

Corrección: Inventariar componentes y actualizar a una versión mantenida sin la vulnerabilidad, incluidas dependencias transitivas.

Aviso de seguridad: CVE-2017-5638

Prevención

Mantener un inventario y SBOM de dependencias directas y transitivas.
Monitorizar avisos de seguridad y actualizar con rapidez.
Eliminar componentes sin mantenimiento o innecesarios.

Linaje

2013 · A9: Using Components with Known Vulnerabilities Continúa en 2017
2017 · A9: Using Components with Known Vulnerabilities Renombrada y sube en 2021
2021 · A06: Vulnerable and Outdated Components Renombrada y sube desde A9:2017
2025 · A03: Software Supply Chain Failures Nueva y ampliada desde componentes vulnerables

2013:A9 → 2017:A9: La categoría de componentes conserva el puesto 9.
2017:A9 → 2021:A06: La categoría cambia a Vulnerable and Outdated Components.
2021:A06 → 2025:A03: Vulnerable Components se amplía a Software Supply Chain Failures.

Fuentes

Abrir fuente oficial ↗

Invítame un café