Un grupo que promueve el software de código libre y ayuda a las organizaciones para que comprendan y mejoren la seguridad de sus aplicaciones y servicios web, el "Open Web Application Security Project" (OWASP), ha publicado un decálogo con las diez principales vulnerabilidades que se encuentran en Internet, según publica Europa Press.

El OWASP intenta enfatizar que la seguridad en Internet no depende exclusivamente de la seguridad de las redes, sino de las propias aplicaciones. Así, asegura que las vulnerabilidades son sorprendentemente comunes y pueden ser explotadas por atacantes no sofisticados con herramientas fácilmente disponibles, por lo que pide a administraciones e industria que adopten medidas.

"Cuando una organización desarrolla una aplicación web, invita al mundo a que le mande peticiones HTTP. Los ataques camuflados tras estas peticiones superan cortafuegos, filtros, SSL y demás porque están dentro de las solicitudes legales de HTTP", aseguró el grupo en un comunicado. "Por ese motivo, el código de las aplicaciones web es arte del perímetro de seguridad y no puede ser ignorado", añadió.

La lista de vulnerabilidades disponible desde el site www.owasp.org, comprende los parámetros incorrectos, es decir, cuando la información de peticiones web no está validada antes de ser utilizada por una aplicación web. Así los atacantes pueden utilizar estos fallos para atacar componentes traseros a través de aplicaciones web.

La superación del control de acceso es otro de los fallos más localizados. Las restricciones sobre las que usuarios autorizados pueden hacer no están suficientemente impuestas, lo que permite que otros usuarios accedan a cuentas ajenas, vean carpetas personales o usen funciones no autorizadas.

Otra de las vulnerabilidades más frecuentes es la ruptura en la gestión de sesiones y cuentas, lo que supone que los piratas pueden acceder a contraseñas, claves, cookies de sesión y otras que permiten la suplantación de identidad.

Por otro lado, las aplicaciones web utilizan funciones de criptografía para proteger información y credenciales. Estas y el código que las integra parecen ser difíciles de codificar correctamente, con el consiguiente riesgo para la seguridad de las comunicaciones.

Asimismo, entre las demás vulnerabilidades figuran la configuración errónea de servidores web y de aplicaciones, los desbordamientos de búfer y fallos en la administración remota.