El 25 de marzo, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y el FBI emitieron una alerta sobre la necesidad de erradicar las vulnerabilidades de inyección SQL (SQLi) en los productos tecnológicos. Esta clase de defectos, considerados «imperdonables», ha sido conocida durante décadas, pero sigue siendo explotada por actores maliciosos.
Vulnerabilidades persisten a pesar del conocimiento generalizado
La alerta destaca que la industria del software ha tenido acceso al conocimiento y a las soluciones para eliminar estas vulnerabilidades durante más de dos décadas. Sin embargo, se menciona un caso reciente en el que una vulnerabilidad SQLi fue explotada por la banda de ransomware Clop, lo cual resultó en pérdidas económicas significativas.
Se estima que esta campaña generó ganancias de hasta 100 millones de dólares para los atacantes. Además, se filtraron datos de miles de clientes corporativos que utilizaban el software de transferencia de archivos MOVEit del desarrollador Progress, afectando a decenas de millones de personas.
Alerta sobre la necesidad de revisión y mitigación
La alerta de CISA y FBI enfatiza que los fabricantes de tecnología deben realizar revisiones formales de su código para identificar posibles puntos débiles en cuanto a SQLi. Si se detectan vulnerabilidades, se exige la implementación inmediata de medidas de mitigación.
Los ataques SQLi son efectivos porque los desarrolladores no tratan el contenido proporcionado por usuarios como potencialmente malicioso. Esto puede permitir que atacantes roben datos confidenciales, alteren información o hagan que la misma no esté disponible en una base de datos.
Principios rectores para la industria tecnológica
La alerta propone tres principios fundamentales que deben seguir los fabricantes:
- Asumir la responsabilidad: Realizar revisiones formales del código y utilizar «declaraciones preparadas con consultas parametrizadas» como práctica estándar.
- Transparencia y responsabilidad radical: Garantizar que los registros CVE sean correctos, completos y documentar las causas de las vulnerabilidades para eliminar clases enteras de defectos.
- Reorientación comercial hacia el desarrollo seguro desde el diseño: Invertir adecuadamente y crear estructuras de incentivos que promuevan la seguridad en el desarrollo del software.
La alerta también recomienda visitar la página Secure by Design de CISA para obtener más información sobre los principios recomendados y las mejores prácticas.