58 fallos divulgados por cazadores de recompensas esta semana

Por Inteligencia QuantumSec · Píldoras de inteligencia · 1 min de lectura

Generada con 0data a partir de lo que ingiere cada día.

Del 22 al 28 de octubre se hicieron públicos 58 informes de programas de recompensas (bug bounty) en 7 programas distintos. Es un 100 % por encima de una semana normal (la mediana de las ocho anteriores es 29). Son fallos reales, encontrados por investigadores externos, pagados y ya corregidos: el mejor catálogo que existe de lo que se le escapa a un equipo de desarrollo.

58 informes de bug bounty divulgados esta semana (+100 % frente a una semana normal)

27 ago: 32 · 3 sep: 35 · 10 sep: 26 · 17 sep: 20 · 24 sep: 8 · 1 oct: 23 · 8 oct: 43 · 15 oct: 46 · 22 oct: 58

8
de gravedad alta o crítica
39
con CVE asignado
170
informes en cuatro semanas (+91 % frente a las cuatro anteriores)

Qué se encuentra

  • Validación de certificados y claves: 33.3 %
  • Saltarse un control de acceso: 16.7 %
  • Cookies y HSTS: 11.9 %
  • Fuga de información: 9.5 %
  • Corrupción de memoria: 9.5 %
  • Otros: 19.0 %

Tipo de fallo, deducido del título de cada informe

  1. Baja — 27
  2. Media — 20
  3. Alta — 7
  4. Sin nota — 3
  5. Crítica — 1

Informes por la gravedad que les dio el programa

Dónde

  1. curl — 34
  2. nextcloud — 11
  3. nodejs — 8
  4. basecamp — 2
  5. monero — 1
  6. mozilla — 1
  7. discourse — 1

Informes divulgados por programa; la flecha compara con la semana anterior

Los informes que hay que leer

InformeProgramaTipoGravedad
Launchpad file read leaks production keysbasecampAcceso a ficherosCrítica
Cross-account XSS on app.basecamp.com: oEmbed option injection chained through Turbo defeats the CSP noncebasecampXSSAlta
Monero IPv6 /128 tracking bypasses per-IP limit, enables remote OOMmoneroSaltarse un control de accesoAlta
A disabled account's API key still works on BMO's Mojolicious /rest/ routes, including for security-group bugs filed after the disablemozillaOtroAlta
Unauthenticated Persistent Denial-of-Service via Federated Share InjectionnextcloudSaltarse un control de accesoAlta
TLS certificate hostname bypass when the IP is written fullwidth digitsnodejsValidación de certificados y clavesAlta
TLS certificate hostname bypass when the host loosely resolves to an IP addressnodejsValidación de certificados y clavesAlta
dns.resolve truncates names containing NUL charnodejsOtroAlta

Compruébalo en vuestra casa

Un programa de recompensas empieza por algo muy simple: que quien encuentre un fallo sepa a quién decírselo. Comprobad si vuestra web lo dice:

curl -s https://vuestrodominio.es/.well-known/security.txt

Si devuelve un 404, quien encuentre un fallo en vuestra web no tiene un canal para avisaros, y tendrá que buscarlo o callarse. El fichero se escribe en cinco minutos (RFC 9116).

Qué hacer hoy

  1. Usad estos informes como lista de pruebas
    Lo que encuentran en otros programas existe en vuestro código: esta semana, sobre todo «validación de certificados y claves». Que vuestro equipo lea dos informes al mes enseña más que un curso.
  2. Publicad un security.txt
    Un correo y una política de divulgación. Es gratis y es lo mínimo que piden NIS2 y el CRA para gestionar vulnerabilidades notificadas por terceros.
  3. Antes de pagar recompensas, pasad una auditoría
    Abrir un programa con fallos fáciles sin corregir es pagar por lo que un pentest encuentra en una semana. Primero lo básico, después la comunidad.

Esta mañana salió Avisos que importan: los avisos de los CERT y fabricantes que hay que leer.

Cómo lo medimos. Ventana: del 22 al 28 de octubre (semana cerrada, hora UTC). Se cuentan los informes de HackerOne que se hicieron públicos en la semana (la fecha es la de divulgación, no la del hallazgo, que suele ser meses antes). El tipo de fallo lo deducimos del título; la gravedad es la que puso el programa. Solo se ven los programas que publican sus informes, que son una minoría. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.

Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras

Servicio relacionado

programa de divulgación de vulnerabilidades

Temas de este artículo

#Bug-bounty-de-la-semana #Bug-bounty #Divulgación-de-vulnerabilidades #Seguridad-de-aplicaciones #curl

Seguir leyendo

Montad vuestro programa