Dipendenze non aggiornate
Librerie con falle note che restano nel prodotto per mesi.
home / risorse / vulnerabilità / A03
OWASP Top 10 2025 · posizione 3
Catena di fornitura del software (OWASP A03)
Il software che usi è fatto anche di componenti altrui. Nel 2025 la categoria è stata ampliata: ora copre librerie, strumenti di build, pipeline e distribuzione.
cos'è
Il difetto può entrare senza una riga sbagliata.
Un componente di terze parti non aggiornato, o compromesso, entra nell'applicazione come parte del prodotto. Chi sviluppa non ha scritto il difetto, ma ne risponde.
La catena include anche gli strumenti che costruiscono il software: se la pipeline è debole, il prodotto finale lo è.
forme comuni
Quattro punti deboli della catena.
Pacchetti non verificati
Componenti installati senza controllare da dove arrivano né se sono integri.
Pipeline senza controlli
Strumenti di build con permessi più ampi del necessario.
Segreti nella catena
Chiavi e token presenti nel repository, nei log di build o negli artefatti.
impatto tipico
Cosa può succedere all'azienda.
Codice non attendibile in produzione
Componenti alterati che entrano in un rilascio regolare.
Segreti esposti
Credenziali che una pipeline mal configurata rende leggibili.
Falle ereditate
Una dipendenza comune porta lo stesso difetto in molte applicazioni.
Ritardo nella correzione
Senza inventario non si sa quali applicazioni sono colpite.
come lo verifichiamo
Si parte da un inventario, non dal sospetto.
Inventario delle dipendenze
Elenco di componenti e versioni usati dall'applicazione.
Confronto con le vulnerabilità note
Ogni componente è confrontato con i database di falle pubblicate.
Permessi della pipeline
Si verifica chi può modificare build, pacchetti e artefatti.
Revisione
Una persona valuta quali falle sono raggiungibili e quali no.
come si corregge
La fiducia va verificata, non presunta.
Da fare
- Mantenere un inventario aggiornato delle dipendenze
- Fissare le versioni e verificarne l'integrità
- Limitare i permessi della pipeline al minimo
- Aggiornare con un processo regolare, non a caso
Da evitare
- Installare pacchetti senza verificarne la provenienza
- Segreti nel repository o nei log di build
- Pipeline che eseguono script non revisionati
Un inventario aggiornato è la prima prova richiesta. Chi deve dimostrare la gestione delle vulnerabilità parte dall'elenco dei componenti. Senza di esso, ogni affermazione è un'opinione.
Vuoi sapere cosa contiene davvero la tua applicazione?
Partiamo dall'inventario delle dipendenze e dalla revisione della pipeline.