A03: Software Supply Chain Failures · 2025

Fallos en dependencias, repositorios, herramientas, procesos de construcción y distribución permiten introducir componentes o artefactos comprometidos.

Resumen

Fallos en dependencias, repositorios, herramientas, procesos de construcción y distribución permiten introducir componentes o artefactos comprometidos.

Cómo funciona el ataque

Un atacante compromete una dependencia que el proceso de construcción incorpora y distribuye, introduciendo código malicioso en la aplicación.

Ejemplo

Vulnerable · Pseudocódigo

# Actualización de dependencia sin revisar
npm install sample-tools@latest
npm run build

Corrección: Bloquear y revisar dependencias transitivas; verificar procedencia antes del build.

Prevención

Mantener SBOM, procedencia y versiones bloqueadas de los componentes.
Verificar firmas y hashes y proteger repositorios y pipelines.
Evaluar proveedores, actualizar dependencias y reducir la superficie de la cadena.

Linaje

2013 · A9: Using Components with Known Vulnerabilities Continúa en 2017
2017 · A9: Using Components with Known Vulnerabilities Renombrada y sube en 2021
2021 · A06: Vulnerable and Outdated Components Renombrada y sube desde A9:2017
2025 · A03: Software Supply Chain Failures Nueva y ampliada desde componentes vulnerables

2013:A9 → 2017:A9: La categoría de componentes conserva el puesto 9.
2017:A9 → 2021:A06: La categoría cambia a Vulnerable and Outdated Components.
2021:A06 → 2025:A03: Vulnerable Components se amplía a Software Supply Chain Failures.

Fuentes

Abrir fuente oficial ↗

Invítame un café