Vulnerabilidades del software

 

Las vulnerabilidades del software pueden deberse a diversos factores, entre ellos:

• Mala configuración del sistema por parte del administrador o usuario.

• Errores de programación durante el desarrollo o actualización del software.

• Deficiente documentación de usuario, lo que dificulta la correcta configuración del sistema.

• Falta de conocimientos en seguridad informática por parte de muchos programadores.

• Presión empresarial que obliga a acelerar los ciclos de desarrollo, reduciendo la calidad y seguridad.

• Escasez de auditorías de seguridad sobre el código fuente, práctica que rara vez se lleva a cabo.

Principales vulnerabilidades

1. Cross Site Scripting (XSS) – Directo e Indirecto

El XSS es un ataque de inyección de código malicioso que se ejecuta en sitios web, aplicaciones locales o incluso en el propio navegador.
Se produce cuando un atacante logra introducir código en una aplicación web, normalmente a través de un enlace, mensajes en aplicaciones de mensajería o correos electrónicos. Sus efectos pueden incluir el robo de información, redirección a sitios maliciosos o incluso provocar ataques de denegación de servicio (DDoS).

• XSS directo: Inserción de código HTML mediante etiquetas como <script> o <frame> en sitios vulnerables.

• XSS indirecto: Alteración de valores que la aplicación transfiere entre páginas (sin gestión de sesiones), por ejemplo, a través de parámetros en la URL, cookies o cabeceras HTTP, pudiendo extenderse al DOM del navegador.

2. Desbordamiento de Buffer

Ocurre cuando un programa excede la memoria asignada y sobrescribe bloques adyacentes.
Los atacantes pueden aprovechar esta vulnerabilidad para ejecutar código arbitrario, tomar control del equipo afectado o realizar ataques de denegación de servicio (DoS).

3. Inyección SQL

Consiste en manipular consultas SQL a través de formularios o entradas de datos en una aplicación web.
Un atacante puede aprovechar esta vulnerabilidad para crear, leer, modificar o eliminar información almacenada en la base de datos.
Normalmente, el objetivo es acceder a datos sensibles como números de la seguridad social, credenciales de acceso, información de tarjetas de crédito u otros datos financieros.