informatica

Cuaderno de notas del

OBSERVATORIO

Instituto Nacional
de Tecnologías
de la Comunicación

k

¿QUÉ SON LAS VULNERABILIDADES DEL SOFTWARE?

Las vulnerabilidades son la piedra angular de la seguridad, puesto que suponen el origen
del que derivan numerosos fallos de seguridad. Una vulnerabilidad en un programa
informático o software es simplemente un error, un problema en su código oen su
configuración. Es muy probable –por no decir que se produce siempre– que los
programas contengan errores, puesto que han sido creados por seres humanos. Esto es
especialmente frecuente en el caso de las aplicaciones muy complejas (como por
ejemplo, un sistema operativo), que tienden a contener errores de manera exponencial.
La peculiaridad que convierte un simple fallo en unavulnerabilidad es la posibilidad de
que el "abuso inteligente" de este defecto pudiera llevar a un riesgo de seguridad que
compromete todo el sistema sobre el que se ejecuta esa aplicación.
En los siguientes epígrafes se analizarán los aspectos básicos de las vulnerabilidades:
por qué ocurren y cómo gestionarlas.
I

Qué es una vulnerabilidad

Una vulnerabilidad es un fallo en un programa o sistemainformático. Pero no cualquiera,
sino un fallo de seguridad. Es necesaria esta distinción puesto que no todos los errores
de programación derivan en fallos de seguridad. Un error en un programa puede llevar a
que no funcione correctamente o que su comportamiento no sea el esperado, pero no
todos estos tipos de problemas pueden considerarse fallos de seguridad. Según la
capacidad deaprovecharse de este defecto, la vulnerabilidad será más o menos grave.
Una vulnerabilidad se define, básicamente, por cinco factores o parámetros que deben
identificarla.
1.

Producto

Para definir una vulnerabilidad, lo primero que es necesario conocer es a qué productos
afecta. Dentro de un mismo programa, incluso, puede afectar a una sola versión, a toda
una rama o incluso a programas totalmentediferentes que compartan un mismo fallo.
Este último supuesto ocurre cuando la aplicación afectada por la vulnerabilidad reside en
sistemas operativos diferentes. Por ejemplo, todas las distribuciones de Linux comparten
una buena cantidad de software, entre ellos, el propio núcleo del sistema. Una sola
vulnerabilidad en el kernel puede afectar a todas las distribuciones que lo utilicen, desdeDebian a Mandriva pasando por OpenSuSE.

OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIÓN 1
¿Qué son las vulnerabilidades del software?
Página 1 de
Observatorio de la Seguridad de la Información

http://observatorio.inteco.es

Ilustración 1: Alerta de Microsoft Windows donde se especifica producto, impacto y
gravedad de las vulnerabilidades

Fuente: INTECO

Para identificarcorrectamente una vulnerabilidad debe especificarse a qué productos o
versiones de productos afecta concretamente.
2.

Dónde

Dentro de un mismo programa, una vulnerabilidad se localiza habitualmente en un
componente o módulo. Los programas suelen componerse de varios módulos que
interactúan entre sí. Una vulnerabilidad puede encontrarse en un módulo concreto del
programa o bien por utilizar unaconfiguración concreta. Por ejemplo, puede existir una
vulnerabilidad en el módulo de interpretación de ficheros en formato RTF en Microsoft
Word sin afectar al módulo que procesa otro tipo de ficheros. O en el módulo de
procesado de ficheros MP3 en el programa de reproducción Winamp. Es posible que la
vulnerabilidad no pueda ser aprovechada si este módulo no se encuentra activo. Por
ejemplo,el módulo de procesamiento de JavaScript en documentos PDF no se encuentra
activo por defecto en Adobe Reader.
Si, por el contrario, el fallo se encuentra en un componente intrínseco al programa, no
existe posibilidad de deshabilitar componentes. Esto puede ocurrir por ejemplo si se
encuentra un fallo en el explorador de Windows o en su propio núcleo.
3.

Causa y consecuencia

¿Cuál es...