Blackduck Software Vulnerability Snapshot 2024 Tausende Schwachstellen in Softwareanwendungen

Die Komplexität moderner Webanwendungen und der Einsatz veralteter Systeme bergen zunehmende Risiken für Unternehmen. Eine von Blackduck durchgeführte Analyse von weltweit über 200.000 Dynamic Application Security Testing Scans zeigt zahlreiche Schwachstellen.

Der Blackduck Software Vulnerability Snapshot 2024 zeigt die Risiken und den Handlungs­bedarf bei Unternehmen in Deutschland und der EU, insbesondere im Umgang mit den Herausforderungen der Cybersecurity in verschiedenen Branchen.

Die Lage der IT-Sicherheit 2024

BSI sieht Bedrohungslage als „besorgniserregend“

Verschlüsselungsfehler sind größtes Risiko

Mit insgesamt 96.917 identifizierten Schwachstellen zeigen die analysierten Dynamic Application Security Testing (DAST) Scans ein alarmierendes Bild der Sicherheitslage in verschiedenen Branchen. Zwei Kategorien stellen dabei die größten Risiken dar: kryptografische Fehler, die sensible Daten gefährden, und Injection-Schwachstellen, die durch manipulierten Code schwerwiegende Sicherheitsverletzungen auslösen können.

Kryptografische Schwachstellen umfassen über 30.000 Fälle und betreffen 86 Prozent der analysierten Anwendungen. Diese Fehler gefährden die Integrität sensibler Informationen wie persönliche Daten, Finanzdaten und Zugangsdaten, die in den Branchen eine zentrale Rolle spielen. Injection-Schwachstellen, mit rund 4.800 Fällen, ermöglichen Angriffe wie SQL-Injections und Cross-Site-Scripting (XSS), was Angreifern potenziell Zugang zu sensiblen Daten und Systemen verschafft.

Die Top 10 der identifizierten Schwachstellen sind:

• 1. Unzureichender Schutz der Transportebene (Insufficient Transport Layer Protection): Fehlerhafte oder fehlende Verschlüsselung von Daten während der Übertragung, was Abfangmöglichkeiten und Manipulationen durch Angreifer ermöglicht. Identifizierte Schwachstellen: 30.712

• 2. Fehlende sichere Header (Missing Secure Headers): Fehlen wichtiger HTTP-Sicherheitsheader, die vor verschiedenen web-basierten Angriffen schützen sollen, wie z. B. X-XSS-Protection, X-Frame-Options und Content-Security-Policy. Identifizierte Schwachstellen: 22.321

• 3. Datenlecks (Information Leakage): Unbeabsichtigte Offenlegung sensibler Informationen durch Fehlermeldungen, Kommentare oder andere Anwendungsantworten, die Angreifer nutzen können, um das System besser zu verstehen und Schwachstellen auszunutzen. Identifizierte Schwachstellen: 8.097

• 4. Vorhersehbare Ressourcenstandorte (Predictable Resource Location): Ressourcen oder Dateien werden an Orten gespeichert, die von Angreifern leicht erraten werden können, wodurch potenziell unbefugter Zugriff auf sensible Informationen oder Funktionen möglich wird. Identifizierte Schwachstellen: 5.468

• 5. Einbettbare Ressourcen (Frameable Resource): Schwachstelle, bei der eine Webseite in einem iframe auf einer anderen Seite eingebettet werden kann, was zu Clickjacking-Angriffen führen kann. Dies geschieht, wenn der X-Frame-Options-Header fehlt oder falsch konfiguriert ist. Identifizierte Schwachstellen: 4.481

• 6. Verwundbare Bibliotheken (Vulnerable Library): Nutzung von Drittanbieter-Bibliotheken oder -Komponenten mit bekannten Schwachstellen, die Schwächen in der Anwendung einführen können. Identifizierte Schwachstellen: 4.215

• 7. Fingerprinting: Angreifer sammeln Informationen über die Technologie, Versionen oder Konfigurationen eines Systems, um potenzielle Schwachstellen zu identifizieren oder gezielte Angriffe vorzubereiten. Identifizierte Schwachstellen: 3.700

• 8. Cross-Site Scripting (XSS): Schwachstelle, bei der Angreifer bösartigen Skriptcode in Webseiten einfügen können, der von anderen Nutzern gesehen wird, was zu Diebstahl sensibler Informationen oder Session-Hijacking führen kann. Identifizierte Schwachstellen: 2.415

• 9. Unzureichende Autorisierung (Insufficient Authorization): Unzureichende Zugriffskontrollen ermöglichen es Nutzern, Aktionen oder Zugriffe durchzuführen, die über ihre vorgesehenen Berechtigungen hinausgehen. Dies geschieht oft durch eine fehlerhafte Implementierung von Autorisierungsprüfungen. Identifizierte Schwachstellen: 2.396

• 10. Anfälligkeit für Brute-Force-Angriffe (Susceptibility to Brute Force): Angriffsmethode, bei der Angreifer systematisch viele Passwörter ausprobieren, um Zugang zu erhalten, oft durch schwache Passwortregeln oder fehlende Account-Sperrmechanismen. Identifizierte Schwachstellen: 2.235

KI als Schutz und Risiko

Die am häufigsten ausgenutzten Exploits 2023

In diesen Branchen gibt es die meisten Sicherheitslücken

Die Finanz- und Versicherungsbranche verzeichnet mit 1.299 kritischen Schwachstellen die höchste Zahl schwerwiegender Sicherheitsprobleme. Der hohe Schutzbedarf in dieser Branche wird durch die Menge der verarbeiteten und gespeicherten sensiblen Finanzdaten und die regulatorischen Anforderungen unterstrichen. Der Gesundheits- und Sozialsektor folgt mit 992 kritischen Schwachstellen. Hier besteht ein dringender Handlungsbedarf, da Patientendaten und die Einhaltung gesetzlicher Bestimmungen, wie der Datenschutz-Grundverordnung, bedroht sind. Auch in der Informationsdienstleistungsbranche mit 446 kritischen Schwachstellen erfordert die große Datenmenge, die Unternehmen verarbeiten, erhöhte Sicherheitsvorkehrungen.

Die Geschwindigkeit zur Behebung von Schwachstellen, auch als „Mean Time to Remediate“ (MTTR) bezeichnet, unterscheidet sich erheblich zwischen den Branchen und spiegelt die Komplexität und Verfügbarkeit von Ressourcen wider. Der Finanz- und Versicherungssektor erreicht dabei schnelle Reaktionszeiten und kann kritische Schwachstellen in kleinen Web-Assets innerhalb von 28 Tagen schließen. Im Gegensatz dazu erweist sich der Versorgungssektor als besonders anfällig für längere Verzögerungen. Hier benötigen kleine Web-Assets durchschnittlich 107 Tage, während die Behebung in mittelgroßen Assets bis zu 876 Tage dauern kann. Die Verzögerungen in der Versorgungsindustrie sind oftmals auf den Einsatz veralteter Systeme zurückzuführen, die schwer zu patchen sind, sowie auf begrenzte IT-Budgets, die keine schnelle Modernisierung erlauben.

Der Bildungssektor weist ebenfalls eine hohe durchschnittliche Zeit zur Behebung kritischer Schwachstellen auf, was auf begrenzte IT-Ressourcen und fehlende spezialisierte Sicherheitsmitarbeiter in kleineren Bildungseinrichtungen zurückzuführen ist. Große Bildungseinrichtungen hingegen schließen Schwachstellen schneller, oft innerhalb eines Tages, da ihre IT-Abteilungen besser ausgestattet sind.

BlackBerry Global Threat Intelligence Report Q4-2023

Eine Million Cyberangriffe in 120 Tagen

Auswirkungen von Sicherheitslücken

Die aufgedeckten Schwachstellen stellen ernsthafte Risiken dar, die über das rein Technische hinausgehen und die betroffenen Unternehmen geschäftlich und regulatorisch belasten. Sensible Daten wie persönliche Informationen, Finanzdaten und Geschäftsgeheimnisse sind besonders anfällig. Angriffe wie SQL-Injections oder XSS gefährden die Vertraulichkeit dieser Informationen, was zu finanziellen Verlusten und Reputationsschäden führen kann. In regulierten Branchen wie der Finanz-, Versicherungs- und Gesundheitsindustrie führen Sicherheitsmängel häufig zu einem Verstoß gegen rechtliche Vorgaben wie die DSGVO, was wiederum hohe Strafen nach sich ziehen kann.

Sicherheitsfehler und Fehlkonfigurationen bedrohen die Betriebskontinuität. Zum Beispiel können kritische medizinische Geräte in Krankenhäusern bei einem Cyberangriff lahmgelegt werden, was direkte Auswirkungen auf die Patientensicherheit hat. Lange Schließzeiten, wie sie in der Versorgungs- und Bildungsindustrie auftreten, erhöhen das Risiko einer Schwachstellenausnutzung über einen längeren Zeitraum. Gerade im Versorgungssektor kann eine nicht geschlossene Sicherheitslücke schwerwiegende Auswirkungen wie Stromausfälle oder Wasserverschmutzungen nach sich ziehen, die potenziell hohe Schäden verursachen können – und das sowohl finanziell als auch was den Ruf anbelangt.

In zehn Schritten zur NIS-2-Konformität, Teil 1

NIS 2 – Anschnallpflicht für Unternehmen

Strategien zur Verbesserung der Anwendungssicherheit

Die Ergebnisse der Studie verdeutlichen, dass ein „One-size-fits-all“-Ansatz nicht ausreichend ist, um den verschiedenen Branchenanforderungen gerecht zu werden. Die spezifischen Herausforderungen und Schwachstellen in jedem Sektor verlangen nach angepassten Sicherheitsstrategien. Blackduck empfiehlt ein Sicherheitskonzept, das Dynamic Application Security Testing, Static Application Security Testing (SAST) und Software Composition Analysis (SCA) kombiniert, um eine umfassende Abdeckung des gesamten Softwareentwicklungszyklus zu gewährleisten.

• DAST simuliert realistische Angriffsszenarien und identifiziert Schwachstellen in laufenden Anwendungen. Der Vorteil dieses Ansatzes liegt in seiner Fähigkeit, Probleme zu erkennen, die sich nur zur Laufzeit zeigen, wie etwa komplexe Injection-Angriffe oder Authentifizierungsfehler. DAST kann in Produktionsumgebungen kontinuierlich zur Sicherheitsüberwachung eingesetzt werden.

• SAST zielt darauf ab, Schwachstellen im Quellcode frühzeitig während der Entwicklungsphase zu entdecken. Besonders effektiv ist dieser Ansatz zur Identifizierung von Codierungsfehlern, die zu Sicherheitslücken führen können, wie etwa SQL-Injections oder Cross-Site-Scripting.

• SCA identifiziert bekannte Schwachstellen in Drittanbieter-Bibliotheken und Open-Source-Komponenten und bewertet deren Schweregrad. Durch die Inventarisierung aller Komponenten im Code und das Monitoring neuer Schwachstellen lassen sich Bedrohungen frühzeitig erkennen und eliminieren.

Durch die Kombination dieser Methoden entsteht ein mehrschichtiges Sicherheitsmodell, das sowohl Entwicklungs- als auch Betriebsprozesse abdeckt und die Wahrscheinlichkeit einer erfolgreichen Angriffsausführung drastisch senkt.

Sicherheitslücken identifizieren und schließen

14 Tools für Penetrationstests von Webanwendungen

Handlungsbedarf in Europa

Die europäische IT-Landschaft steht vor der Herausforderung, ihre Cybersicherheitsmaßnahmen an die sich schnell entwickelnde Bedrohungslage anzupassen. Insbesondere die Sektoren Finanzwesen und Gesundheitswesen sollten Investitionen in ihre Sicherheitsarchitekturen erhöhen, um den zunehmend komplexen Bedrohungen und regulatorischen Anforderungen gerecht zu werden. Die vorgeschlagenen Maßnahmen könnten Unternehmen in der EU dabei helfen, die Einhaltung der DSGVO sicherzustellen, Betriebsausfälle zu minimieren und ihre Reaktionsfähigkeit auf Bedrohungen zu verbessern.

Die Analyse von Blackduck zeigt, dass sich Sicherheitsrisiken häufig auf grundlegende Schwächen zurückführen lassen, die in zahlreichen Anwendungen und Branchen auftreten. Besonders weit verbreitet sind Insufficient Transport Layer Protection und fehlende Secure Headers. Fehlende Verschlüsselung bei der Datenübertragung gefährdet die Vertraulichkeit sensibler Informationen und schafft potenzielle Angriffsflächen für Datenlecks. Ebenso erhöhen fehlende Sicherheitsheader die Verwundbarkeit gegenüber webbasierten Angriffen. Das ungewollte Offenlegen von Systeminformationen und vorhersehbare Speicherorte für Ressourcen liefern Hackern wertvolle Einblicke in Systemarchitektur und Schwachstellen, was gezielte Angriffe begünstigt. Die hohe Häufigkeit dieser Sicherheitsprobleme verdeutlicht einen Bedarf an optimierten Sicherheitspraktiken und verstärktem Sicherheitsbewusstsein, das über die reine Technik hinausgeht und in alle Geschäftsprozesse integriert werden muss.

Über den Autor: Boris Cipot ist Senior Sales Engineer bei Black Duck.

Sonderausgabe jetzt als ePaper lesen

Welche Cyberrisiken kommen 2025 auf uns zu?

(ID:50242674)