Los parches de seguridad incompletos indican a los piratas informáticos dónde deben buscar a continuación

Un in­ves­ti­ga­dor de se­gu­ri­dad de Terra Se­cu­rity ana­li­zó re­gis­tros pú­bli­cos de vul­ne­ra­bi­li­da­des y avi­sos de GitHub para es­tu­diar los par­ches de se­gu­ri­dad que re­sul­tan ser in­com­ple­tos o vul­ne­ra­bles a omi­sio­nes. Su in­ves­ti­ga­ción re­ve­ló que, tras man­te­ner­se es­ta­bles du­ran­te años, los casos de co­rrec­cio­nes de có­di­go abier­to de­fec­tuo­sas au­men­ta­ron con­si­de­ra­ble­men­te, evi­den­cian­do que los arre­glos ac­tua­les sue­len ser­vir de guía para los ata­can­tes.

El aná­li­sis se­ña­la que las so­lu­cio­nes apli­ca­das a fa­llos ya ex­plo­ta­dos y aque­llas ba­sa­das en lis­tas de ele­men­tos blo­quea­dos son las que fa­llan con mayor fre­cuen­cia. Los fa­llos en las lis­tas de blo­queo, co­mu­nes en pro­ble­mas como la fal­si­fi­ca­ción de pe­ti­cio­nes del lado del ser­vi­dor y la con­ta­mi­na­ción de pro­to­ti­pos, se rom­pen con fa­ci­li­dad cuan­do el sis­te­ma no logra an­ti­ci­par todas las va­rian­tes po­si­bles de en­tra­das ma­li­cio­sas, re­qui­rien­do en oca­sio­nes múl­ti­ples co­rrec­cio­nes pos­te­rio­res como ocu­rrió con el soft­wa­re Round­cu­be y con una vul­ne­ra­bi­li­dad de Win­dows Shell par­chea­da por Mi­cro­soft.

Como re­co­men­da­ción para los de­sa­rro­lla­do­res, el ex­per­to su­gie­re re­vi­sar y com­pa­rar las co­rrec­cio­nes antes de lan­zar­las para ase­gu­rar­se de que ata­can la causa prin­ci­pal del pro­ble­ma en lugar de li­mi­tar­se a blo­quear una en­tra­da es­pe­cí­fi­ca. Por su parte, a las or­ga­ni­za­cio­nes en­car­ga­das de apli­car las ac­tua­li­za­cio­nes se les acon­se­ja asu­mir que los par­ches de vul­ne­ra­bi­li­da­des ex­plo­ta­das serán exa­mi­na­dos en busca de omi­sio­nes y man­te­ner las prue­bas in­clu­so si los aná­li­sis ini­cia­les no de­tec­tan in­con­ve­nien­tes.