Alcance real, ¿se carga la librería?

Hay tres niveles distintos que el informe del escáner mezcla en uno. Presente: el archivo está en la imagen. Cargada: un proceso en ejecución la tiene cargada. Alcanzable: el código vulnerable se puede activar con datos que controla alguien ajeno al servicio. Cada nivel descarta una parte de los hallazgos, y cada uno exige una evidencia distinta: la lista de archivos, el mapa de bibliotecas cargadas, el análisis de qué entra al código.

Un hallazgo que solo llega al primer nivel sigue siendo deuda: conviene quitar el paquete de la imagen. Pero no pelea por el primer puesto de la semana con uno que llega a los tres.

Con los cuatro hallazgos de Avellana, el trabajo es cruzar tres columnas: si la biblioteca se carga, a quién está expuesto el servicio y si la condición que pide el aviso se cumple. Solo uno junta las tres cosas a la vez, y ese es el que se persigue primero, aunque su CVSS no sea el más llamativo ni el único en el catálogo KEV.

Lee la tabla de alcance y la evidencia sin dejarte llevar por el nombre del paquete ni por la puntuación.

Muchos avisos dicen en su descripción qué debe ocurrir para que el fallo se aproveche: una función concreta que se llame, una opción que alguien controle, una forma de despliegue. Esa frase es la que permite decidir si se cumple en tu servicio, y se verifica leyendo el código y la configuración, nunca probando el fallo.

Uno de los hallazgos de Avellana es de una biblioteca de utilidades de JavaScript cuya debilidad está en una función concreta. La evidencia dice cuál es esa función y cómo se usa.

El aviso del marco de aplicaciones web de Java exige dos cosas: un entorno de ejecución reciente y un despliegue concreto como archivo WAR en un servidor de aplicaciones. En Avellana el servicio corre con la versión reciente del entorno, pero se empaqueta como jar ejecutable, que es justo el caso que el aviso dice que no se ve afectado por esa vía.

Eso baja su urgencia frente a un hallazgo que cumple todo. No lo cierra: el propio aviso reconoce que el fallo es más general y podrían existir otras vías. La respuesta correcta es la proporcionada.

El último hallazgo es un paquete del sistema que está en la imagen y que ningún proceso del servicio carga. Solo lo usa una utilidad de línea de comandos que el servicio nunca invoca. El riesgo inmediato es bajo, y la recomendación es limpiar: construir la imagen sin esa utilidad para que el hallazgo desaparezca de raíz en lugar de gestionarlo cada mes.

Eso es mejor que cerrarlo como falso positivo: el paquete existe, simplemente no se usa.