Vulnerable and Outdated Components

El uso de componentes vulnerables y desactualizados puede tener varios impactos negativos, que incluyen, entre otros: * **Exposición a ataques**: Las vulnerabilidades en componentes no actualizados pueden ser explotadas por atacantes para obtener acceso no autorizado, ejecutar código arbitrario, acceder a datos sensibles, o realizar ataques de denegación de servicio (DoS). * **Incumplimiento de normativas**: La falta de cumplimiento con estándares de seguridad y regulaciones puede resultar en sanciones legales y dañar la reputación de la organización. * **Pérdida de datos**: La explotación de vulnerabilidades puede llevar a la pérdida o exposición de datos sensibles de la empresa o de los usuarios. ### Estrategias de Mitigación Para mitigar los riesgos asociados con los componentes vulnerables y desactualizados, las organizaciones pueden adoptar varias estrategias: * **Inventario de componentes**: Mantener un inventario actualizado de todos los componentes de terceros utilizados en las aplicaciones, incluyendo sus versiones. * **Monitoreo y evaluación de vulnerabilidades**: Utilizar herramientas de escaneo de vulnerabilidades y suscripciones a bases de datos de vulnerabilidades para recibir alertas sobre nuevas vulnerabilidades en los componentes utilizados. * **Gestión de parches y actualizaciones**: Establecer un proceso sistemático para la aplicación oportuna de parches y actualizaciones a los componentes vulnerables. * **Política de seguridad para el uso de componentes de terceros**: Desarrollar y aplicar una política que defina los criterios para la selección, uso y mantenimiento de componentes de terceros, incluyendo la evaluación de seguridad antes de su adopción. * **Pruebas de seguridad**: Realizar pruebas de seguridad regularmente, incluyendo pruebas de penetración, para identificar y mitigar vulnerabilidades en las aplicaciones.

Lo que comentas esta perfecto en un mundo ideal, pero en la realidad la mayoría de los desarrolladores utilizan librerías públicas con licencia open source que encuentran en GitHub... Entiendo lo que intentas proponer aca pero hay que ser realistas con el mercado que existe, preferiría que dieras recomendaciones más realistas de como hacer monitoreo en este tipo de escenarios en lugar de decir solo "hey no usen librerías que no sean de empresas reconocidas" porque eso no va a pasar... la mayoría de las veces a menos que trabajes parar una empresa muy muy muy grande, vas a terminar utilizando una librería de GitHub Random o un código que alguien compartió en algún comentario de stack overflow / gist

## **Vulnerable and Outdated Components** Es cuando se utilizan componentes vulnerables o desactualizados. *Ejemplo* * Denial of service done o denegación de servicios *Impacto* * Es crítico cuando se trata de servicios públicos o de alta demanda *Controles* 1. Detección de componentes vulnerables 2. Utilizar dependencias de origen confiable 3. Auditoria permanente del código fuente

Para los que como yo son desarrolladores mobile, [aquí](https://www.guardsquare.com/blog/hidden-mobile-app-security-risks-in-android-libraries-guardsquare) hay unas recomendaciones de GuardSquare para apps Android

Para aquellos desarrolladores de Python. Les comparto este artículo de redhat en el que comparten una herramienta en python para encontrar vulnerabilidades en las dependencias y claro, cómo arreglarlas. \[How to find third-party vulnerabilities in your python code]\(https://www.redhat.com/sysadmin/find-python-vulnerabilities)