¿Qué es?
Las malas configuraciones de seguridad aparecen cuando el sistema, servidores o aplicaciones se despliegan con valores por defecto inseguros, configuraciones incompletas o servicios expuestos. No son bugs de código sino errores en cómo el entorno, software o red se configuran.
¿Por qué importa?
Incluso pequeñas malas configuraciones pueden exponer información sensible, habilitar escalada de privilegios o darle a los atacantes un pie dentro del sistema. Las aplicaciones modernas confían en stacks complejos, servicios de nube y APIs de terceros. Un sólo panel administrativo expuesto, un bucket de almacenamiento abierto o permisos mal configurados pueden comprometer el sistema entero.
Ejemplo
En 2017, Uber expuso un bucket AWS S3 de backup con información sensible de usuarios, incluyendo información de conductores y riders porque el bucket era accesible públicamente. Esto muestra que un error de despliegue puede llevar a una brecha importante.
Patrones Comunes
- Credenciales por defecto o contraseña débil sin cambiar.
- Servicios o endpoints innecesarios expuestos a internet.
- Permisos o almacenamiento en nube mal configurado (S3, Azure Blob, GCP buckets).
- Acceso no restringido a APIs o falta de autentificación/autorización.
- Muestra de mensajes de error exponiendo trazas del stack o detalles de sistema.
- Software, frameworks o contenedores desactualizados con vulnerabilidades conocidas.
- Endpoints AI/ML expuestos sin controles de acceso adecuados.
Cómo Prevenirlo
- Reforzar configuraciones por defecto y borrar servicios y funcionalidades no utilizados.
- Reforzar una autentificación fuerte y los menores privilegios a lo largo del sistema.
- Limitar la exposición de red y recursos sensibles.
- Mantener el software, frameworks y contenedores actualizados.
- Esconder mensajes de error para evitar revelar información de más.
- Auditar configuraciones de nube y permisos de forma regular.
- Securizar los endpoints AI y servicios de automatización con controles de acceso y monitorización adecuada.
- Integrar comprobaciones de configuración y seguridad en el proceso de despliegue.
Reto
Navega hasta el puerto 5002 de la IP dada. Parece que los desarrolladores se dejaron bastantes trazas en sus APIs de Control de Usuarios.
- Vamos a la página dada.
- Hacemos lo que nos dice para interactuar con la API.
- Vamos probando y con números positivos y
0no vemos nada, por lo que probamos un número que creemos que dará un error (-1).