{"id":1089,"date":"2026-03-30T14:52:03","date_gmt":"2026-03-30T12:52:03","guid":{"rendered":"https:\/\/www.go2bsecure.com\/?p=1089"},"modified":"2026-03-30T14:52:03","modified_gmt":"2026-03-30T12:52:03","slug":"rexx-en-z-os-por-que-permitimos-que-cualquiera-tenga-los-planos-del-edificio","status":"publish","type":"post","link":"https:\/\/www.go2bsecure.com\/es\/blog\/rexx-en-z-os-por-que-permitimos-que-cualquiera-tenga-los-planos-del-edificio\/","title":{"rendered":"REXX en z\/OS: \u00bfPor qu\u00e9 permitimos que cualquiera tenga los planos del edificio?"},"content":{"rendered":"Seamos sinceros: REXX es una maravilla.\u00a0Es la navaja suiza de cualquier sistemista en entornos\u00a0mainframe:<\/strong> un lenguaje potente, vers\u00e1til y nativo que nos ha salvado la vida en innumerables ocasiones, automatizando tareas tediosas.<\/span> Pero como suele pasar con las herramientas poderosas, tiene un lado oscuro que a menudo preferimos ignorar.\r\n\r\nImagina, por un momento, un hospital. Los m\u00e9dicos necesitan acceso a las radiograf\u00edas para diagnosticar, \u00bfverdad? Ahora imagina que dejamos las salas de rayos X abiertas y los historiales m\u00e9dicos accesibles para que cualquier celador, administrativo o visitante curioso pueda echarles un vistazo. Ser\u00eda una locura, \u00bfno? Pues eso es exactamente lo que ocurre en muchos LPAR de z\/OS<\/b> hoy en d\u00eda con REXX.\r\n

El problema: GitHub y la CBT Tape son un arma de doble filo<\/h2>\r\nSi eres CISO<\/b> o responsable de seguridad, esto te interesa. No hace falta ser un genio del mal para encontrar herramientas peligrosas. Si te das una vuelta r\u00e1pida por GitHub y buscas \u00abmainframe REXX\u00bb, encontrar\u00e1s un arsenal de scripts listos para usar. Y no estamos hablando solo de utilidades inofensivas; hablamos de c\u00f3digo dise\u00f1ado para realizar footprinting<\/i> (reconocimiento) detallado.\r\n\r\nEstos scripts permiten a los \u00abmalos\u00bb \u2014o a un empleado descontento, o a un usuario b\u00e1sico con credenciales comprometidas\u2014 mapear tu sistema, localizar vulnerabilidades de configuraci\u00f3n, listar librer\u00edas de APF o ver cat\u00e1logos que no deber\u00edan ver. Y no es algo nuevo: los directorios de la vieja y conocida CBT Tape llevan m\u00e1s de veinte a\u00f1os alojando scripts similares. La diferencia es que ahora est\u00e1n a un clic de distancia para cualquiera.\r\n

La vulnerabilidad de \u00ablibre disposici\u00f3n\u00bb<\/h2>\r\nEl riesgo real radica en los permisos por defecto.\u00a0A menudo, en la configuraci\u00f3n de un\u00a0LPAR<\/strong>, asumimos que si un usuario no tiene acceso de escritura, no representa un riesgo.<\/span>\u00a0Error.\r\n\r\nSi cualquier programador b\u00e1sico puede ejecutar un REXX que escanea la estructura de tus datos, es como si le hubieras dado los planos del banco al ladr\u00f3n antes del robo. Con esa informaci\u00f3n, pueden preparar la instalaci\u00f3n de piezas de c\u00f3digo para robar informaci\u00f3n, denegar servicios o, lo que es peor, instalar puertas traseras (backdoors<\/i>) que pasen desapercibidas durante meses.\r\n

El impacto normativo: DORA, NIS2 y GDPR<\/h2>\r\nAqu\u00ed es donde la tecnolog\u00eda choca con la legalidad. Ya no es solo una cuesti\u00f3n de buenas pr\u00e1cticas; es una exigencia legal.\r\n