Code-Bibliotheken werden zum Sicherheitsrisiko Sicherheitslücken in Drittanbieter-Code gefährden Unternehmen

Softwarebibliotheken, auf die mehrere Hardwarehersteller zurückgreifen, werden für Sicherheitsexperten in Unternehmen zunehmend zu einem Problem. Dass sich Hersteller Code teilen, ist nicht grundsätzlich kritisch, sondern die Tatsache, dass es oft an Sicherheitsprüfungen und -vorkehrungen mangelt. Wenn Bedrohungsforscher eine neue Schwachstelle entdecken, sind potenziell Betroffene oft nicht rechtzeitig darüber informiert, bevor sich Cyberkriminelle ans Werk machen.

Anbieter zum Thema

Rapid7 Germany

TXOne Networks

Specops Software GmbH

Tenable Network Security GmbH

Tenable entdeckte im Frühjahr 2021 eine Schwachstelle in einem Router des Herstellers Buffalo, deren Ursprung in der eingesetzten Arcadian-Software lag. Betroffen waren letztlich weltweit mindestens 20 weitere Modelle von 17 verschiedenen Anbietern und Serviceprovidern wie Telstra, Telus, Verizon und Vodafone – und damit deren Kunden und Nutzer. Unsichere Router können in Zeiten von Fernarbeit auch den Geschäftsbetrieb von Unternehmen gefährden. Hinzu kommt die Flut an mobilen Geräten und IoT-Komponenten, deren Drittanbieter-Software auch Sicherheitslücken enthalten kann. Die Heimnetzwerke, aber auch das wachsende Internet der Dinge erweitern die potenzielle Angriffsfläche erheblich.

Zudem werden Ransomware-Angriffe immer raffinierter. Angreifer hatten es zuletzt gezielt auf Managed Service Provider und deren Unternehmenskunden abgesehen. In einem spektakulären Fall nutzten versierte Akteure im Juli 2021 Zero-Day-Schwachstellen in der PSA-Software (Professional Services Automation) Kaseya VSA aus. Andere nehmen sich die selbstverbreitende, zerstörerische Malware NotPetya, die im Sommer 2017 weltweit großen Schaden anrichtete, zum Vorbild. Um die großangelegte Ausnutzung einer Schwachstelle und die Verbreitung einer solchen Bedrohung zu stoppen, ist gerade bei Drittanbieter-Software größere Sorgfalt nötig. So ist es bei Schwachstellen in mehrfach verwendeter Software entscheidend, alle nachgelagerten Softwareprojekte, Dienste und Kunden zu ermitteln, um die Beteiligten zeitnah warnen zu können.

Die Software-Supply-Chain muss sicherer werden

Die Komplexität von Softwareprojekten steigt und die Abhängigkeit von Drittanbieter-Frameworks, Open-Source-Software und herstellerübergreifend genutzten Bibliotheken nimmt zu. Somit ist es entscheidend, dass Unternehmen eine vollständige Inventarisierung der eingesetzten Komponenten durchführen. Überaus hilfreich ist hierbei eine maschinenlesbare Software Bill of Materials (SBOM). Diese Aufzeichnung enthält alle Details und Supply-Chain-Beziehungen der Komponenten, auf die ein Unternehmen bei der Erstellung von Software zurückgegriffen hat. Mittels zuverlässig aktualisierter SBOMs ist es möglich, betroffene Geräte frühzeitig zu erfassen und alle Beteiligten zu warnen.

Die Anwendung sicherer Softwareentwicklungspraktiken ist ein weiterer Ansatzpunkt, um die Software-Supply-Chain sicherer zu machen. Ein sicherer Softwareentwicklungszyklus (Secure Software Development Lifecycle, SSDLC) bedeutet, die Schwachstellen in einem neuen Software-Release quantitativ und qualitativ zu ermitteln und diese Schwachstellen zu reduzieren und auszumerzen. Des Weiteren können Unternehmen durch das frühzeitige Erkennen von Problemen im Entwicklungsprozess ihre Entwicklungskosten senken. Steigende Kosten gehen nicht zuletzt darauf zurück, dass Bugs und Schwachstellen oft erst dann sichtbar werden und behoben werden, wenn der Code bereits produktiv im Einsatz ist.

Ebenso sinnvoll ist die Aufstellung eines Product Security Incident Response-Teams (PSIRT), das sich im Unternehmen mit der Identifizierung, Bewertung und dem Umgang mit Risiken von Sicherheitslücken in Software befasst. Integriert in den SSDLC-Prozess setzt das PSIRT ordnungsgemäße Sicherheitspraktiken um und übernimmt die Aufsicht und Koordination für alle Sicherheitsprobleme. Die Aufstellung eines PSIRT oder die Umsetzung interner Programme zur Offenlegung von Sicherheitslücken macht den gesamten Prozess bis zur Behebung deutlich effizienter.

Sicherheitsprobleme rechtzeitig entschärfen

Die zunehmenden Cybersicherheitsvorfälle und Cyberangriffe im Zusammenhang mit der Software-Supply-Chain bewirkte zuletzt immerhin eine erhöhte Aufmerksamkeit seitens der Softwareanbieter und Sicherheitsexperten, aber auch der Gesetzgeber. Infolgedessen bringt die gesamte Community neue Ansätze ein, realisiert neue Richtlinien und Verfahren, die gezielt die Sicherheitsprobleme in komplexen Software-Supply-Chains bewältigen sollen.

Es ist ein herstellerübergreifendes, branchenweites Problem, bei dem das Engagement und Zusammenwirken aller Beteiligten erforderlich ist. Den bisher langwierigen und holprigen Prozess bei der Meldung von Schwachstellen in gemeinsam genutzten Softwarebibliotheken gilt es zu straffen. Nur so gelingt es, Sicherheitslücken bei allen betroffenen Produkten ebenso effektiv wie effizient zu beheben.

Über die Autoren: Evan Grant ist Staff Research Engineer bei Tenable und hat gemeinsam mit Tenable's Zero Day Research Team diesen Artikel verfasst.

(ID:48068476)