Reino: Environment

Esta sección incluye todo lo que está fuera del código fuente pero aun así es importante para la seguridad del producto que se está creando. Dado que todas las cuestiones incluidas en esta sección no están directamente relacionadas con el código fuente, las hemos separado de las demás secciones.

Build Misconfiguration: Dynamic Dependency Version Usage

Abstract
La recuperación de dependencias de compilación mediante una versión dinámica puede dejar al sistema de compilación vulnerable a archivos binarios malintencionados o hacer que el sistema experimente un comportamiento inesperado.
Explanation
El sistema de administración de dependencias automatizado Apache Ivy permite a los usuarios especificar un estado de versión, conocido como revisión dinámica, para una dependencia en lugar de enumerar la específica. Si un atacante puede comprometer el repositorio de dependencias o engañar al sistema de compilación para que descargue dependencias de un repositorio bajo su control, entonces un especificador de revisión dinámica puede ser todo lo que haga falta para que el sistema de compilación descargue y ejecute silenciosamente la dependencia comprometida. Aparte de los riesgos de seguridad, las revisiones dinámicas también introducen un elemento de riesgo en el frente de la calidad del código: Las revisiones dinámicas colocan la seguridad y la estabilidad de su software bajo el control de terceros que desarrollan y liberan las dependencias que utiliza su software.

En el momento de la compilación, Ivy se conecta al repositorio e intenta recuperar una dependencia que coincida con el estado indicado.

Ivy acepta los siguientes especificadores de revisión dinámica:

- latest.integration: selecciona la última revisión del módulo de dependencias.
- latest.[any status]: selecciona la última revisión del módulo de dependencias con al menos el estado especificado. Por ejemplo, latest.milestone seleccionará la última versión que sea un hito o un lanzamiento, y latest.release solo seleccionará el último lanzamiento.
- Cualquier revisión que termine en +: selecciona la última subrevisión del módulo de dependencias. Por ejemplo, si la dependencia existe en las revisiones 1.0.3, 1.0.7 y 1.1.2, una revisión especificada como 1.0.+ seleccionará la revisión 1.0.7.
- Intervalos de versiones: la notación matemática para intervalos, como <y>, se puede utilizar para hacer coincidir un intervalo de versiones.

Ejemplo 1: La siguiente entrada de configuración indica a Ivy que recupere la última versión de lanzamiento del componente clover:


<dependencies>
        <dependency org="clover" name="clover"
                    rev="latest.release" conf="build->*"/>
	...


Si el repositorio está comprometido, un atacante podría simplemente cargar una versión que cumpla con los criterios dinámicos para hacer que Ivy descargue una versión malintencionada de la dependencia.
References
[1] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-001167, CCI-001499, CCI-001749, CCI-001812
[2] Standards Mapping - NIST Special Publication 800-53 Revision 4 CM-5 Access Restrictions for Change (P1), CM-11 User-Installed Software (P1), SC-18 Mobile Code (P2)
[3] Standards Mapping - NIST Special Publication 800-53 Revision 5 CM-5 Access Restrictions for Change, CM-11 User-Installed Software, CM-14 Signed Components, SC-18 Mobile Code
[4] Standards Mapping - OWASP API 2023 API8 Security Misconfiguration
[5] Standards Mapping - OWASP Mobile 2014 M7 Client Side Injection
[6] Standards Mapping - OWASP Mobile 2024 M8 Security Misconfiguration
[7] Standards Mapping - OWASP Top 10 2013 A5 Security Misconfiguration
[8] Standards Mapping - OWASP Top 10 2017 A6 Security Misconfiguration
[9] Standards Mapping - OWASP Top 10 2021 A05 Security Misconfiguration
[10] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 2.2.6
[11] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0.1 Requirement 2.2.6
[12] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[13] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[14] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[15] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[16] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[17] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[18] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[19] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[20] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[21] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[22] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[23] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[24] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[25] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
[26] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-001390 CAT II, APSC-DV-001430 CAT II, APSC-DV-001440 CAT II, APSC-DV-003300 CAT II
desc.config.java.build_misconfiguration_dynamic_dependency_version