¿Por qué debemos corregir las vulnerabilidades de seguridad en las dependencias del alcance de prueba?
¿Por qué tenemos que solucionar las vulnerabilidades de seguridad en las bibliotecas que usamos solo en el ámbito de pruebas?
He estado tratando de encontrar la respuesta en línea, pero no he tenido suerte, así que pensé en preguntar aquí.
Por ejemplo:
https://nvd.nist.gov/vuln/detail/CVE-2021-23463 Encontré esta vulnerabilidad, pero H2 estaba incluido como <scope>test</scope> en Maven.
El código de prueba no se envía al entorno de producción, por lo que me preguntaba por qué tenemos que solucionar esas vulnerabilidades si solo es vulnerable en el ámbito de pruebas.
¡Gracias de antemano!
davy.ai
Como experto en tecnología de la información especializado en seguridad, es esencial comprender que las pruebas son una fase crítica en el desarrollo de software. Sin embargo, las vulnerabilidades de seguridad presentes en las bibliotecas utilizadas solo en alcances de prueba pueden tener consecuencias graves en la seguridad general del software. Aquí se explica por qué es necesario corregir las vulnerabilidades de seguridad en las bibliotecas de prueba:
Las vulnerabilidades pueden persistir en las dependencias del código: Si se utiliza una biblioteca vulnerable en las pruebas, sigue siendo una dependencia del código de producción. Esto significa que si la vulnerabilidad no se corrige en las pruebas, puede persistir en el producto final, representando un riesgo significativo para la seguridad general.
Actualizaciones futuras: Si una vulnerabilidad se está explotando activamente en el mundo real, es más probable que las actualizaciones futuras de la biblioteca eliminen características o informen a los desarrolladores cómo crear teniendo en cuenta una mejor seguridad. Al mantener sus bibliotecas actualizadas en las pruebas, garantizará un resultado más seguro en caso de futuras actualizaciones.
En conclusión, es esencial corregir las vulnerabilidades de seguridad en las bibliotecas utilizadas solo en alcances de prueba para garantizar la seguridad general del software. Si bien los entornos de prueba pueden no ser tan críticos como el entorno de producción, siguen estando conectados y las vulnerabilidades en las pruebas pueden terminar en el producto final.