El proyecto ZAP (Zed Attack Proxy), un escáner de seguridad de aplicaciones web de código abierto ampliamente utilizado, ha revelado una fuga crítica de memoria en su motor JavaScript. Este fallo, probablemente presente desde hace algún tiempo, ahora interrumpe los flujos de trabajo de escaneo activo tras la introducción de una nueva regla de escaneo JavaScript en el complemento OpenAPI. 

El proyecto ZAP (Zed Attack Proxy), un escáner de seguridad de aplicaciones web de código abierto ampliamente utilizado, ha revelado una fuga crítica de memoria en su motor JavaScript.

Este fallo, probablemente presente desde hace algún tiempo, ahora interrumpe los flujos de trabajo de escaneo activo tras la introducción de una nueva regla de escaneo en JavaScript en el complemento OpenAPI.

Los equipos de seguridad que dependen de ZAP para pruebas dinámicas de seguridad de aplicaciones (DAST) enfrentan condiciones similares a un denegación de servicio durante los escaneos.

Los responsables de ZAP emitieron la alerta el 28 de enero de 2026, destacando la urgencia de los esfuerzos de remediación. La fuga de memoria se manifiesta durante los escaneos activos, donde el motor JavaScript no libera correctamente los recursos, lo que lleva a un rápido agotamiento de la memoria.

Este problema cobró relevancia después de que la reciente actualización del complemento OpenAPI incorporara la problemática regla de escaneo en JS, amplificando el consumo de recursos en los pipelines de pruebas automatizadas.

En esencia, la vulnerabilidad surge de un manejo ineficiente de la memoria dentro del motor JavaScript de ZAP, posiblemente relacionado con ejecuciones de scripts prolongadas o una recolección de basura no gestionada en las reglas de escaneo.

Los escaneos activos, la característica distintiva de ZAP para probar aplicaciones web mediante ataques automatizados como inyección SQL y XSS, desencadenan la fuga al procesar especificaciones OpenAPI con lógica JavaScript integrada.

Los impactos incluyen:

• Bloqueos o congelamientos en las sesiones de escaneo, deteniendo el descubrimiento de vulnerabilidades.
• Aumento del uso de recursos en los hosts de escaneo, arriesgando una mayor tensión en la infraestructura en entornos CI/CD.
• Retrasos en las evaluaciones de seguridad para equipos DevSecOps que usan ZAP en Docker o implementaciones independientes.

El fallo no expone las aplicaciones escaneadas a exploits, pero socava la fiabilidad de ZAP como herramienta de seguridad, pudiendo retrasar la identificación de parches en entornos similares a producción.

Mitigación y actualizaciones de versiones

Para reducir los riesgos inmediatos, el complemento OpenAPI ha sido parcheado para desactivar por defecto la regla de escaneo en JS problemática. Debes actualizar a la última versión para aplicar esta solución temporal. Ya están disponibles versiones nocturnas y semanales de ZAP con la corrección, junto con imágenes Docker actualizadas para los canales semanal y en vivo.

Debes verificar las instalaciones mediante zaproxy --version y reactivar la regla solo después de que se implemente la solución definitiva.

Los responsables de ZAP están priorizando una resolución permanente para la fuga en el motor JavaScript, con commits en curso que se esperan pronto. Este incidente subraya los desafíos de integrar scripting dinámico en herramientas de seguridad, donde los errores de rendimiento pueden derivar en vulnerabilidades operativas.

Se recomienda a los profesionales de la seguridad monitorear el repositorio de GitHub de ZAP y sus anuncios para la versión estable. Mientras tanto, recurrir a escaneos pasivos o herramientas alternativas como Burp Suite puede ayudar a cubrir las brechas.

Recientemente, el equipo de Zed Attack Proxy (ZAP) lanzó el complemento OWASP PTK, versión 0.2.0 alpha, que integra la extensión del navegador OWASP Penetration Testing Kit (PTK) directamente en los navegadores lanzados desde ZAP.