OWASP Top 10 2025

A01:2025 - Control de acceso deficiente
A02:2025 - Configuración de seguridad inadecuada
A03:2025 - Fallas en la cadena de suministro de software
A04:2025 - Fallas criptográficas
A05:2025 - Inyección
A06:2025 - Diseño inseguro
A07:2025 - Fallas en la autenticación
A08:2025 - Fallas en la integridad del software o datos
A09:2025 - Fallas en el registro y las alertas de seguridad
A10:2025 - Manejo inadecuado de condiciones excepcionales

A01:2025 Control de acceso deficiente - El control de acceso aplica la política para que los usuarios no puedan actuar fuera de sus permisos previstos. Las fallas suelen llevar a la divulgación no autorizada de información, la modificación o destrucción de todos los datos, o la ejecución de funciones de negocio fuera de los límites del usuario.

A02:2025 Configuración de seguridad inadecuada - La configuración de seguridad inadecuada ocurre cuando un sistema, aplicación o servicio en la nube se configura incorrectamente desde el punto de vista de la seguridad, creando vulnerabilidades.

A03:2025 Fallas en la cadena de suministro de software - Las fallas en la cadena de suministro de software son interrupciones u otras compromisos en el proceso de construcción, distribución o actualización de software. A menudo son causadas por vulnerabilidades o cambios maliciosos en código de terceros, herramientas u otras dependencias de las que el sistema depende.

A04:2025 Fallas criptográficas - En general, todos los datos en tránsito deben estar cifrados en la capa de transporte (capa 4 OSI). Obstáculos anteriores como el rendimiento de la CPU y la gestión de claves privadas/certificados ahora se gestionan mediante CPUs que tienen instrucciones diseñadas para acelerar el cifrado (por ejemplo: soporte para AES) y la simplificación de la gestión de claves privadas y certificados por servicios como LetsEncrypt.org, junto con los principales proveedores de nube que ofrecen servicios de gestión de certificados aún más integrados para sus plataformas específicas. Más allá de asegurar la capa de transporte, es importante determinar qué datos necesitan cifrado en reposo, así como qué datos necesitan cifrado adicional en tránsito (en la capa de aplicación, capa 7 OSI). Por ejemplo, contraseñas, números de tarjetas de crédito, registros de salud, información personal y secretos de negocios requieren protección adicional, especialmente si esos datos están sujetos a leyes de privacidad, por ejemplo, el Reglamento General de Protección de Datos (GDPR) de la UE, o regulaciones como el Estándar de Seguridad de Datos PCI (PCI DSS).

A05:2025 Inyección - Una vulnerabilidad de inyección es un defecto del sistema que permite a un atacante insertar código o comandos maliciosos (como código SQL o de shell) en los campos de entrada de un programa, engañando al sistema para que ejecute el código o los comandos como si fueran parte del sistema. Esto puede conducir a consecuencias verdaderamente graves.

A06:2025 Diseño inseguro - El diseño inseguro es una categoría amplia que representa diferentes debilidades, expresadas como "diseño de controles ausentes o ineficaces". El diseño inseguro no es la fuente de todas las demás categorías de riesgo del Top Ten. Cabe señalar que existe una diferencia entre el diseño inseguro y la implementación insegura. Distinguimos entre defectos de diseño y defectos de implementación por una razón: tienen causas raíz diferentes, ocurren en diferentes momentos del proceso de desarrollo y tienen remedios diferentes. Un diseño seguro aún puede tener defectos de implementación que lleven a vulnerabilidades que pueden ser explotadas. Un diseño inseguro no puede ser corregido por una implementación perfecta, ya que los controles de seguridad necesarios nunca se crearon para defenderse contra ataques específicos. Uno de los factores que contribuyen al diseño inseguro es la falta de perfilación de riesgos de negocio inherente al software o sistema que se está desarrollando, y por lo tanto el fracaso en determinar qué nivel de diseño de seguridad se requiere.

A07:2025 Fallas en la autenticación - Cuando un atacante es capaz de engañar a un sistema para que reconozca a un usuario no válido o incorrecto como legítimo, está presente esta vulnerabilidad.

A08:2025 Fallas en la integridad del software o datos - Las fallas en la integridad del software y los datos se refieren a código e infraestructura que no protege contra el tratamiento de código o datos no válidos o no confiables como confiables y válidos. Un ejemplo de esto es cuando una aplicación depende de complementos, bibliotecas o módulos de fuentes no confiables, repositorios y redes de distribución de contenido (CDNs). Una pipeline CI/CD insegura que no consume ni proporciona verificaciones de integridad del software puede introducir el potencial de acceso no autorizado, código inseguro o malicioso, o compromiso del sistema. Otro ejemplo es una CI/CD que obtiene código o artefactos de lugares no confiables y/o no los verifica antes de su uso (mediante la verificación de la firma u otro mecanismo similar).

A09:2025 Fallas en el registro y las alertas de seguridad - Sin registro y monitoreo, los ataques y las brechas no pueden detectarse, y sin alertas es muy difícil responder rápida y eficazmente durante un incidente de seguridad. El registro insuficiente, el monitoreo continuo, la detección y las alertas para iniciar respuestas activas ocurren en cualquier momento

A10:2025 Manejo inadecuado de condiciones excepcionales - El manejo inadecuado de condiciones excepcionales en el software ocurre cuando los programas no logran prevenir, detectar y responder a situaciones inusuales e impredecibles, lo que lleva a cierres, comportamiento inesperado y a veces vulnerabilidades. Esto puede implicar una o más de las siguientes 3 fallas; la aplicación no impide que ocurra una situación inusual, no identifica la situación mientras ocurre, y/o responde mal o no responde en absoluto a la situación posteriormente.

Discutiremos y presentaremos aspectos prácticos de:

Control de acceso deficiente
- Ejemplos prácticos de controles de acceso deficientes
- Controles de acceso seguros y mejores prácticas

Configuración de seguridad inadecuada
- Ejemplos del mundo real de configuraciones inadecuadas
- Pasos para prevenir la configuración inadecuada, incluyendo herramientas de gestión de configuración y automatización

Fallas criptográficas
- Análisis detallado de fallas criptográficas como algoritmos de cifrado débiles o gestión inadecuada de claves
- Importancia de mecanismos criptográficos robustos, protocolos seguros (SSL/TLS) y ejemplos de criptografía moderna en la seguridad web

Ataques de inyección
- Desglose detallado de inyección SQL, NoSQL, OS y LDAP
- Técnicas de mitigación utilizando sentencias preparadas, consultas paramétricas y escapado de entradas

Diseño inseguro
- Exploraremos defectos de diseño que pueden llevar a vulnerabilidades, como la validación inadecuada de entradas
- Estudiararemos estrategias para arquitectura segura y principios de diseño seguro

Fallas en la autenticación
- Problemas comunes de autenticación
- Estrategias de autenticación seguras, como la autenticación multifactor y el manejo apropiado de sesiones

Fallas en la integridad del software y datos
- Enfoque en problemas como actualizaciones de software no confiables y manipulación de datos
- Mecanismos de actualización seguros y verificaciones de integridad de datos

Fallas en el registro y monitoreo de seguridad
- Importancia de registrar información relevante para la seguridad y monitorear actividades sospechosas
- Herramientas y prácticas para un registro adecuado y monitoreo en tiempo real para detectar brechas a tiempo