OWASP Top 10 2025

A01:2025 - Control de Acceso Roto A02:2025 - Configuración de Seguridad Incorrecta A03:2025 - Fallos en la Cadena de Suministro de Software A04:2025 - Fallos Criptográficos A05:2025 - Inyección A06:2025 - Diseño Inseguro A07:2025 - Fallos de Autenticación A08:2025 - Fallos de Integridad de Software o Datos A09:2025 - Fallos en la Registración y Alertas de Seguridad A10:2025 - Manejo Incorrecto de Condiciones Excepcionales

A01:2025 Control de Acceso Roto - El control de acceso aplica una política de modo que los usuarios no puedan actuar fuera de sus permisos previstos. Los fallos suelen conducir a la divulgación no autorizada de información, la modificación o destrucción de todos los datos, o la realización de una función de negocio fuera de los límites del usuario.

A02:2025 Configuración de Seguridad Incorrecta - La configuración de seguridad incorrecta ocurre cuando un sistema, aplicación o servicio en la nube se configura incorrectamente desde una perspectiva de seguridad, creando vulnerabilidades.

A03:2025 Fallos en la Cadena de Suministro de Software - Los fallos en la cadena de suministro de software son interrupciones u otras compromisos en el proceso de construcción, distribución o actualización de software. A menudo son causados por vulnerabilidades o cambios maliciosos en el código, herramientas u otras dependencias de terceros en las que el sistema confía.

A04:2025 Fallos Criptográficos - En términos generales, todos los datos en tránsito deben ser cifrados en la capa de transporte (capa 4 del modelo OSI). Obstáculos anteriores como el rendimiento de la CPU y la gestión de claves privadas/certificados ahora se manejan mediante CPU con instrucciones diseñadas para acelerar el cifrado (p. ej., soporte de AES) y la gestión de claves privadas y certificados simplificada por servicios como LetsEncrypt.org, con los principales proveedores de nube ofreciendo servicios de gestión de certificados aún más integrados para sus plataformas específicas. Más allá de asegurar la capa de transporte, es importante determinar qué datos necesitan cifrado en reposo, así como qué datos necesitan cifrado adicional en tránsito (en la capa de aplicación, capa 7 del modelo OSI). Por ejemplo, las contraseñas, los números de tarjetas de crédito, los registros de salud, la información personal y los secretos empresariales requieren protección adicional, especialmente si esos datos están sujetos a leyes de privacidad, p. ej., el Reglamento General de Protección de Datos (RGPD) de la UE, o regulaciones como el Estándar de Seguridad de Datos PCI (PCI DSS).

A05:2025 Inyección - Una vulnerabilidad de inyección es un defecto del sistema que permite a un atacante insertar código o comandos maliciosos (como código SQL o de shell) en los campos de entrada de un programa, engañando al sistema para que ejecute el código o los comandos como si fueran parte del sistema. Esto puede conducir a consecuencias verdaderamente graves.

A06:2025 Diseño Inseguro - El diseño inseguro es una categoría amplia que representa diferentes debilidades, expresadas como "diseño de controles ausentes o ineficaces". El diseño inseguro no es la fuente de todas las demás categorías de riesgo del Top Ten. Tenga en cuenta que hay una diferencia entre diseño inseguro e implementación insegura. Distinguimos entre defectos de diseño y defectos de implementación por una razón: tienen causas raíz diferentes, ocurren en momentos diferentes del proceso de desarrollo y tienen correcciones diferentes. Un diseño seguro aún puede tener defectos de implementación que conduzcan a vulnerabilidades que puedan ser explotadas. Un diseño inseguro no puede ser corregido por una implementación perfecta, ya que los controles de seguridad necesarios nunca fueron creados para defenderse de ataques específicos. Uno de los factores que contribuye al diseño inseguro es la falta de perfilado de riesgos comerciales inherentes al software o sistema que se está desarrollando, y por lo tanto, el fracaso para determinar qué nivel de diseño de seguridad se requiere.

A07:2025 Fallos de Autenticación - Cuando un atacante es capaz de engañar a un sistema para que reconozca a un usuario inválido o incorrecto como legítimo, esta vulnerabilidad está presente.

A08:2025 Fallos de Integridad de Software o Datos - Los fallos de integridad de software y datos se refieren al código y la infraestructura que no se protegen contra el tratamiento de código o datos inválidos o no confiables como confiables y válidos. Un ejemplo de esto es cuando una aplicación depende de plugins, bibliotecas o módulos de fuentes no confiables, repositorios y redes de entrega de contenido (CDN). Una pipeline de CI/CD inseguro que no consume ni proporciona comprobaciones de integridad del software puede introducir el potencial de acceso no autorizado, código inseguro o malicioso, o compromiso del sistema. Otro ejemplo de esto es una CI/CD que extrae código o artefactos de lugares no confiables y/o no los verifica antes de su uso (comprobando la firma o un mecanismo similar).

A09:2025 Fallos en la Registración y Alertas de Seguridad - Sin registro y monitoreo, los ataques y las violaciones no pueden detectarse, y sin alertas, es muy difícil responder rápida y efectivamente durante un incidente de seguridad. La registración, el monitoreo continuo, la detección y las alertas insuficientes para iniciar respuestas activas ocurren en cualquier momento

A10:2025 Manejo Incorrecto de Condiciones Excepcionales - El manejo incorrecto de condiciones excepcionales en software ocurre cuando los programas no previenen, detectan y responden a situaciones inusuales e impredecibles, lo que lleva a caídas, comportamiento inesperado y a veces vulnerabilidades. Esto puede involucrar uno o más de los siguientes 3 fallos; la aplicación no previene que una situación inusual ocurra, no identifica la situación mientras ocurre, y/o responde mal o no responde en absoluto a la situación después.

Discutiremos y presentaremos aspectos prácticos de:

Control de Acceso Roto - Ejemplos prácticos de controles de acceso rotos - Controles de acceso seguros y mejores prácticas

Configuración de Seguridad Incorrecta - Ejemplos reales de configuraciones incorrectas - Pasos para prevenir la configuración incorrecta, incluidas herramientas de gestión de configuración y automatización

Fallos Criptográficos - Análisis detallado de fallos criptográficos como algoritmos de cifrado débiles o gestión inadecuada de claves - Importancia de mecanismos criptográficos fuertes, protocolos seguros (SSL/TLS) y ejemplos de criptografía moderna en la seguridad web

Ataques de Inyección - Desglose detallado de inyección SQL, NoSQL, OS y LDAP - Técnicas de mitigación utilizando sentencias preparadas, consultas parametrizadas y escapado de entradas

Diseño Inseguro - Exploraremos defectos de diseño que pueden conducir a vulnerabilidades, como la validación de entradas inadecuada - Estudiar estrategias para arquitectura segura y principios de diseño seguro

Fallos de Autenticación - Problemas comunes de autenticación - Estrategias de autenticación segura, como la autenticación multifactor y el manejo adecuado de sesiones

Fallos de Integridad de Software y Datos - Enfoque en problemas como actualizaciones de software no confiables y manipulación de datos - Mecanismos de actualización seguros y comprobaciones de integridad de datos

Fallos en la Registración y Monitoreo de Seguridad - Importancia de registrar información relevante para la seguridad y monitorear actividades sospechosas - Herramientas y prácticas para una registración adecuada y monitoreo en tiempo real para detectar violaciones tempranamente