24 fallos divulgados por cazadores de recompensas esta semana
Por Inteligencia QuantumSec · Píldoras de inteligencia · 1 min de lectura
Generada con 0data a partir de lo que ingiere cada día.
Del 29 de octubre al 4 de noviembre se hicieron públicos 24 informes de programas de recompensas (bug bounty) en 9 programas distintos. Es un 21,3 % por debajo de una semana normal (la mediana de las ocho anteriores es 30,5). Son fallos reales, encontrados por investigadores externos, pagados y ya corregidos: el mejor catálogo que existe de lo que se le escapa a un equipo de desarrollo.
24 informes de bug bounty divulgados esta semana (-21,3 % frente a una semana normal)
3 sep: 35 · 10 sep: 26 · 17 sep: 20 · 24 sep: 8 · 1 oct: 23 · 8 oct: 43 · 15 oct: 46 · 22 oct: 58 · 29 oct: 24
- 3
- de gravedad alta o crítica
- 3
- con CVE asignado
- 171
- informes en cuatro semanas (+122,1 % frente a las cuatro anteriores)
Qué se encuentra
- Corrupción de memoria: 35.7 %
- Otras inyecciones: 14.3 %
- Saltarse un control de acceso: 14.3 %
- Validación de certificados y claves: 7.1 %
- Inyección de peticiones (smuggling): 7.1 %
- Otros: 21.4 %
Tipo de fallo, deducido del título de cada informe
- Media — 15
- Baja — 4
- Alta — 3
- Sin nota — 2
Informes por la gravedad que les dio el programa
Dónde
- mariadb — 11
- basecamp — 3
- weblate — 3
- wordpress — 2
- shopify — 1
- django — 1
- curl — 1
- monero — 1
Informes divulgados por programa; la flecha compara con la semana anterior
Los informes que hay que leer
Compruébalo en vuestra casa
Un programa de recompensas empieza por algo muy simple: que quien encuentre un fallo sepa a quién decírselo. Comprobad si vuestra web lo dice:
curl -s https://vuestrodominio.es/.well-known/security.txtSi devuelve un 404, quien encuentre un fallo en vuestra web no tiene un canal para avisaros, y tendrá que buscarlo o callarse. El fichero se escribe en cinco minutos (RFC 9116).
Qué hacer hoy
- Usad estos informes como lista de pruebas
Lo que encuentran en otros programas existe en vuestro código: esta semana, sobre todo «corrupción de memoria». Que vuestro equipo lea dos informes al mes enseña más que un curso. - Publicad un security.txt
Un correo y una política de divulgación. Es gratis y es lo mínimo que piden NIS2 y el CRA para gestionar vulnerabilidades notificadas por terceros. - Antes de pagar recompensas, pasad una auditoría
Abrir un programa con fallos fáciles sin corregir es pagar por lo que un pentest encuentra en una semana. Primero lo básico, después la comunidad.
Esta mañana salió Avisos que importan: los avisos de los CERT y fabricantes que hay que leer.
Cómo lo medimos. Ventana: del 29 de octubre al 4 de noviembre (semana cerrada, hora UTC). Se cuentan los informes de HackerOne que se hicieron públicos en la semana (la fecha es la de divulgación, no la del hallazgo, que suele ser meses antes). El tipo de fallo lo deducimos del título; la gravedad es la que puso el programa. Solo se ven los programas que publican sus informes, que son una minoría. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.
Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras
Servicio relacionado
programa de divulgación de vulnerabilidades
Temas de este artículo
#Bug-bounty-de-la-semana #Bug-bounty #Divulgación-de-vulnerabilidades #Seguridad-de-aplicaciones #mariadb
Seguir leyendo
- 58 fallos divulgados por cazadores de recompensas esta semana
- 702 denuncias de estafa cripto y 1.031 hackeos con 13,4 mil millones de dólares perdidos
- +46,5 % en víctimas publicadas en sitios de filtración: la cifra de la semana
- 1.437 ladrones de credenciales y 2,6 TB publicados por el ransomware
- 6.732 muestras maliciosas y 4 cosas que buscar hoy en vuestra red