Triaje de un reporte externo con evidencia

El triaje empieza por un acuse de recibo dentro del plazo de la política, aunque todavía no se sepa nada. Después se confirma el fallo con lo que la empresa ya tiene: sus registros, su código y, si hace falta, un entorno de pruebas con datos ficticios. No se repite la petición del investigador contra producción ni contra datos de clientes reales, y tampoco se le pide que pruebe más: si ya demostró el fallo con sus dos cuentas, cualquier prueba adicional sobre datos ajenos solo añade víctimas.

Confirmado el fallo, se fija qué componente y qué versiones afecta, quién puede llegar a él y qué es lo peor que permite el código, que no tiene por qué ser lo que el investigador alcanzó a enseñar.

El investigador supone una causa: la v2 busca el documento solo por su número. Una suposición así se comprueba en el código, y el código suele dar más de lo que el reporte cuenta, por ejemplo otra ruta que comparte el mismo fallo. Abre el laboratorio, lee reporte-AGZ-R-0431.txt y después documentos.py. Compara cómo protege la v3 su ruta y cómo lo hace la v2.

El registro permite comprobar cada afirmación del reporte sin repetir nada. Cada línea dice qué comercio tenía la sesión, qué documento se pidió y qué respondió el servidor. Un documento pedido con la sesión de un comercio que no es su dueño y respondido con 200 es una entrega indebida; un 403 es la v3 haciendo su trabajo; un 404 es un número que no existe. Lee registro-api.txt.

El error más común al medir el alcance de un fallo es confundir quién usa una ruta con quién puede llegar a ella. Que solo los clientes viejos llamen a una versión de la API no impide que cualquier otro la llame: las rutas siguen publicadas y basta una sesión. Y si el registro de cuentas es abierto, cualquiera tiene una sesión. Lee nota-del-equipo.txt y luego conector-versiones.txt.

Agraz califica con las métricas base de CVSS 4.0, el sistema que mantiene FIRST. Se valoran cosas como por dónde se llega (la red), qué complejidad tiene, qué privilegios hacen falta, si otra persona tiene que hacer algo y qué se pierde en el sistema vulnerable: confidencialidad, integridad y disponibilidad. La severidad que propone el investigador se anota, y la que propone el equipo que mantiene el código también, pero decide la evidencia sobre el peor caso. Repasa criterios-triaje.txt.