Como reportar vulnerabilidades

Ya sea que encontremos un bug/error de pura casualidad o investigación y logremos detallar los pasos de como lo descubrimos y/o realizamos en ese momento podremos dar reporte a la falla.

  • El primer paso es delimitar el alcance de la falla.
Verificamos si es la ultima versión del software ya que si no es así o si existen actualizaciones que no tengamos puede que demos con una falla vieja, esta puede o no puede estar reportada.

Dependiendo de esto ultimo procederemos o no y trataremos de ver si versiones anteriores son vulnerables también.
  • Medir el impacto de la falla
Aqui determinamos el impacto de la falla sobre el sistema que la hospeda, entre los mas comunes tenemos:

Denegación de Servicio
Es el mas común, generalmente no pasaremos de hacer que la aplicación deje de funcionar

Consumo de recursos
Si no deja de funcionar, podremos causar algún consumo adicional de memoria y/o microprocesador

Ejecución de Código
Es lo que se busca en la mayoría de las veces, si logramos insertar código y ejecutarlo el sistema podría estar totalmente comprometido

Revelado de información
En dado caso podríamos revelar información que se supone que no deberíamos de poder ver.

Algun Error menor
Se podría dar la situación en la simplemente sobrescribamos alguna variable menor. Solo por mencionar algún ejemplo.

  • Encontrar el medio de comunicación con el creador del software (vendor)
Esto es mas importarte. La mayoría de los software que son públicos tienen un correo/pagina de contacto. Es importante comunicarte con el vendor y darle detalles de la falla que encontraste los pasos que seguiste, y si puedes da sugerencias para mejorar el software.

  • Arreglado/Corregido
Después de Intercambiar algunos correos y ver que el bug sea arreglado y este disponible un parche o nueva versión ahora si es posible publicar el bug en un blog/web propios y posteriormente publicarlo en alguna pagina como securityfocus, milw0rm entre otras.

Cabe mencionar que muchas veces el bug no sera parcheado o puede tardar mucho.




Formato sugerido para el reporte de bug

Generalmente estos se reportan en texto plano.
La mayoría de lista de correo esperan no mas de 80 caracteres por fila.
Organización y Secciones recomendadas
  • Limitación
  • Descripción del Software
  • Descripción del Problema
  • Impacto
  • Solución
  • Referencias
  • Créditos

La organización de dichas secciones puede variar y por su puesto que estas se reportan en ingles.

--
- Anon

Comentarios

Entradas populares de este blog

Clave WPA2 por Defecto de equipos TotalPlay (Huawei HG8245H)

Cable modem Ubee - WPA2 y WPS por defecto

Telcel - 2.8 GB WA - ¿Que significa?