Anthropic finds 94 cases where open-source projects drop security controls without warning - Help Net Security

El equipo de investigación de Anthropic utilizó su modelo de inteligencia artificial, Claude, para examinar 25 proyectos de código abierto (software cuyo código es público y gratuito). El estudio reportó 493 problemas relacionados con la exposición innecesaria de funciones, configuraciones que entran en conflicto y código que se ejecuta antes de realizar las verificaciones de seguridad correspondientes.

Uno de los hallazgos más preocupantes fue que, en 94 casos, ciertas combinaciones de ajustes desactivaron silenciosamente los controles de seguridad sin mostrar errores o advertencias al administrador. Por ejemplo, se detectó un caso donde dos configuraciones hacían que un servidor, diseñado para exigir certificados de cliente, aceptara conexiones de cualquier persona sin avisar al usuario que el requisito de seguridad se había perdido.

En el caso específico de OpenSSH, una herramienta fundamental para el acceso remoto seguro, se identificaron unas 4.500 líneas de código criptográfico experimental que podían ser alcanzadas por usuarios no autenticados (que no han iniciado sesión). Aunque esto no es una vulnerabilidad directa, aumenta la superficie de ataque, es decir, los puntos de entrada que un atacante puede intentar explotar.

Anthropic ya trabajó con los mantenedores de OpenSSH para aplicar parches. La versión 10.6 de OpenSSH logró reducir en aproximadamente una quinta parte el código accesible antes de la autenticación, mejorando la seguridad al restringir el acceso a funciones innecesarias sin necesidad de encontrar un fallo específico en ellas.

Qué significa para una pyme colombiana y cucuteña: Si usted utiliza herramientas de acceso remoto como OpenSSH para administrar sus servidores o equipos, asegúrese de que estén actualizados a la versión 10.6 o superior. No confíe ciegamente en que, por haber desactivado una función, esta ya no es accesible; revise periódicamente que sus configuraciones de seguridad no tengan conflictos que dejen la puerta abierta sin avisarle.