Die OWASP-Liste 2021 im Wandel: Ein neuer Schlachtplan und der Hauptgegner

In dieser zunehmend chaotischen Welt gab es schon immer ein paar Konstanten, auf die man sich verlassen konnte: Die Sonne geht morgens auf und abends wieder unter, Mario wird immer cooler sein als Sonic the Hedgehog und Injection-Angriffe werden immer den Spitzenplatz auf der Liste der zehn häufigsten und gefährlichsten Schwachstellen belegen, die aktiv von Angreifern ausgenutzt werden, so das Open Web Application Security Project (OWASP).

Nun, die Sonne wird auch morgen aufgehen und Mario hat immer noch die Nase vorn gegenüber Sonic, aber Injection-Angriffe haben ihren Spitzenplatz auf der berüchtigten OWASP-Liste, die 2021 aktualisiert wurde, verloren. Als eine der ältesten Angriffsformen sind Injection-Schwachstellen fast so alt wie die Computernetzwerke selbst. Diese pauschale Schwachstelle ist für eine Vielzahl von Angriffen verantwortlich, von klassischen SQL-Injections bis hin zu Exploits gegen Object Graph Navigation Libraries (OGNL). Sie umfasst sogar direkte Angriffe auf Server mittels OS-Command-Injection-Techniken. Die Vielseitigkeit von Injection-Schwachstellen für Angreifer – ganz zu schweigen von der Anzahl der potenziellen Angriffsziele – hat diese Kategorie viele Jahre lang an der Spitze gehalten.

Doch der Injection-König ist gestürzt. Lang lebe der König.

Heißt das, wir haben das Problem der Injection-Schwachstellen endlich gelöst? Keineswegs. Sie ist nicht weit von ihrer Position als Sicherheitsfeind Nummer eins entfernt und liegt auf der OWASP-Liste nur auf Platz drei. Es wäre ein Fehler, die anhaltenden Gefahren von Injection-Angriffen zu unterschätzen, aber die Tatsache, dass eine andere Schwachstellenkategorie sie überholen konnte, ist bezeichnend. Sie zeigt, wie weit verbreitet der neue OWASP-Spitzenreiter tatsächlich ist und warum Entwickler ihm in Zukunft große Aufmerksamkeit schenken müssen.

Das vielleicht Interessanteste an der OWASP Top 10 2021 ist jedoch, dass sie eine grundlegende Überarbeitung darstellt. Brandneue Kategorien geben ihr Debüt: Insecure Design, Software and Data Integrity Failures sowie ein Eintrag, der auf Ergebnissen einer Community-Umfrage basiert: Server-Side Request Forgery. Dies deutet auf einen zunehmenden Fokus auf architektonische Schwachstellen hin und darauf, dass der Maßstab für Softwaresicherheit über oberflächliche Fehler hinausgeht.

Broken Access Control übernimmt die Krone (und offenbart einen Trend)

Broken Access Control ist von Platz fünf der OWASP-Liste der zehn häufigsten Schwachstellen bis auf den aktuellen Spitzenplatz aufgestiegen. Wie bei Injection und neuen Einträgen wie Insecure Design umfasst die Schwachstelle „Broken Access“ eine breite Palette von Programmierfehlern, was zu ihrer zweifelhaften Popularität beiträgt, da sie gemeinsam Schäden an mehreren Fronten ermöglichen. Die Kategorie umfasst jeden Fall, in dem Zugriffskontrollrichtlinien verletzt werden können, sodass Benutzer außerhalb ihrer beabsichtigten Berechtigungen agieren können.

Einige Beispiele für Broken Access Control, die von OWASP für den Aufstieg dieser Schwachstellenfamilie auf den Spitzenplatz angeführt werden, sind solche, die es Angreifern ermöglichen, eine URL, den internen Anwendungsstatus oder einen Teil einer HTML-Seite zu manipulieren. Sie könnten es Benutzern auch ermöglichen, ihren primären Zugriffsschlüssel zu ändern, sodass eine Anwendung, eine Website oder eine API glaubt, sie seien jemand anderes, etwa ein Administrator mit höheren Privilegien. Dazu gehören sogar Schwachstellen, bei denen Angreifer nicht daran gehindert werden, Metadaten zu ändern, was es ihnen ermöglicht, Dinge wie JSON-Web-Tokens, Cookies oder Zugriffskontroll-Tokens zu verändern.

Einmal ausgenutzt, kann diese Familie von Schwachstellen von Angreifern verwendet werden, um Datei- oder Objektberechtigungen zu umgehen, Daten zu stehlen oder sogar destruktive Funktionen auf Administratorebene auszuführen, wie etwa das Löschen von Datenbanken. Dies macht Broken Access Control nicht nur extrem gefährlich, sondern auch zunehmend verbreitet.

Es ist durchaus überzeugend – wenn auch nicht überraschend –, dass Schwachstellen bei Authentifizierung und Zugriffskontrolle zum fruchtbarsten Boden für Angreifer werden. Verizons neuester Data Breach Investigations Report zeigt, dass Probleme bei der Zugriffskontrolle in fast jeder Branche vorherrschen, insbesondere in der IT und im Gesundheitswesen, und dass satte 85 % aller Sicherheitsverletzungen eine menschliche Komponente aufwiesen. Nun deckt „menschliche Komponente“ Vorfälle wie Phishing-Angriffe ab, die kein technisches Problem darstellen, aber 3 % der Sicherheitsverletzungen betrafen ausnutzbare Schwachstellen, die laut Bericht überwiegend auf ältere Schwachstellen und menschliches Versagen, wie z. B. Sicherheitsfehlkonfigurationen, zurückzuführen waren.

Während diese veralteten Sicherheitslücken wie XSS und SQL-Injection Entwicklern weiterhin Probleme bereiten, wird zunehmend deutlich, dass das grundlegende Sicherheitsdesign versagt. Dies führt zu architektonischen Schwachstellen, die für einen Angreifer sehr vorteilhaft sein können, insbesondere wenn sie ungepatcht bleiben, nachdem die Sicherheitslücke in einer bestimmten Version einer Anwendung öffentlich bekannt geworden ist.

Das Problem ist, dass nur wenige Ingenieure eine Schulung und Kompetenzentwicklung erhalten, die über die Grundlagen hinausgeht, und noch weniger sehen, wie ihr Wissen und ihre praktische Anwendung über lokalisierte Fehler auf Code-Ebene hinaus erweitert werden, die normalerweise ohnehin von Entwicklern eingeführt werden.

Die Fehler verhindern, die Roboter selten finden

Die neu gruppierte Familie der Broken-Access-Control-Schwachstellen ist ziemlich vielfältig. Einige spezifische Beispiele für Broken Access Controls und wie man sie stoppt, finden Sie auf unserem YouTube-Kanal und in unserem Blog.

Ich halte es jedoch für wichtig, diese neue OWASP Top 10 zu würdigen; sie ist in der Tat vielfältiger und umfasst ein breiteres Spektrum an Angriffsvektoren, einschließlich solcher, die Scanner nicht unbedingt erkennen. Für jede gefundene Schwachstelle auf Code-Ebene bleiben komplexere architektonische Mängel von den meisten Sicherheitstechnologien unbemerkt, egal wie viele automatisierte Schutzschilde und Waffen im Arsenal vorhanden sind. Während der Löwenanteil der OWASP Top 10-Liste immer noch auf Basis von Scandaten zusammengestellt wird, zeigen neue Einträge zu Insecure Design und Data Integrity Failures – neben anderen –, dass die Schulungshorizonte für Entwickler schnell erweitert werden müssen, um das zu erreichen, was Roboter nicht können.

Einfach ausgedrückt: Sicherheitsscanner sind keine guten Bedrohungsmodellierer, aber ein Team von sicherheitsgeschulten Entwicklern kann das AppSec-Team ungemein unterstützen, indem es seinen Sicherheits-IQ im Einklang mit Best Practices sowie den geschäftlichen Anforderungen steigert. Dies muss in ein gutes Sicherheitsprogramm einfließen, mit dem Verständnis, dass die OWASP Top 10 zwar eine hervorragende Basis darstellen, die Bedrohungslandschaft jedoch so schnelllebig ist (ganz zu schweigen von den Anforderungen interner Entwicklungsziele), dass es einen Plan geben muss, um bei der Weiterbildung von Entwicklern im Bereich Sicherheit tiefer und spezifischer vorzugehen. Andernfalls werden zwangsläufig Gelegenheiten zur frühzeitigen Behebung verpasst und ein erfolgreicher ganzheitlicher Ansatz für präventive, menschlich gesteuerte Cybersicherheit behindert.

‍

Wir sind bereit für die OWASP Top 10 2021, und das ist erst der Anfang! Starten Sie noch heute mit Ihren Entwicklern auf einem erweiterten Sicherheitsschulungspfad.