¿Se usa de verdad la función vulnerable?

Una alerta de dependencia pasa por cuatro preguntas, y cada una puede cerrarla. ¿El paquete está instalado en lo que se despliega, o solo en las herramientas de desarrollo? ¿La aplicación lo importa? ¿Llama a la función que nombra el aviso, o a otras del mismo paquete? Y si la llama, ¿le llega por algún camino un dato que alguien de fuera puede elegir?

Las herramientas de alcance automatizan las tres primeras: parten de los puntos de entrada (rutas HTTP, tareas programadas) y siguen las llamadas hasta la función afectada. Su límite es el mismo de cualquier análisis estático: siguen lo que pueden ver en el texto del programa. Una carga de módulo armada en ejecución, una llamada por nombre en una cadena o un complemento que se registra solo les cortan el camino. Un buen informe avisa de esos cortes; quien lo lee tiene que ir a mirarlos.

Abre el laboratorio y lee encargo.txt, alertas-simulador.txt e informe-alcance.txt. Luego busca cada función afectada en busqueda-usos.txt y abre su uso en fragmentos.txt. Para la primera alerta, el aviso decía que el fallo solo aparece si el segundo argumento viene de fuera de la aplicación.

El informe de la herramienta trae una advertencia al final. Síguela: abre el archivo que nombra, mira qué archivo puede terminar cargando y qué hace ese archivo con lo que recibe. Después vuelve a la lista de alertas.

Clasifica las cinco con las cuatro preguntas de la tarea 1. Cuidado con dos casos: una función afectada que sí se ejecuta en producción pero solo con un valor fijo del propio código, y un paquete que se instala únicamente para desarrollo y que no entra en la imagen, según despliegue.txt.

Una alerta que no afecta no se borra: se declara. Los formatos de intercambio de explotabilidad (conocidos como VEX, y que pueden escribirse en CSAF de OASIS o en CycloneDX de OWASP) recogen, para cada producto y vulnerabilidad, un estado (afectado, no afectado, corregido, en análisis) y, si no afecta, la justificación: el componente no está, el código vulnerable no está, no está en el camino de ejecución o el atacante no puede controlar su entrada. Una buena declaración dice además qué cambio la invalidaría.

Declarar «no afectado» no quita la actualización: se hace igual, en la ventana normal, porque el día que alguien escriba la primera llamada a esa función, la alerta vuelve a importar sin que nadie lo note.