Top25 der sicherheitsrelevanten Programmierfehler

Unter Federführung des SANS Institute wurde die aktuelle Liste der 25 gefährlichsten Software-Fehler des Jahres veröffentlicht. Ganz oben im Ranking wird dabei die ungenügende Prüfung von Anfragen an Webserver hinsichtlich SQL-Elementen aufgeführt, wodurch Angreifer die Möglichkeit zu SQL Injection-Angriffen erhalten. In der letzten Zeit wurde diese Methode immer wieder eingesetzt, um große Mengen an persönlichen Daten von Unternehmensseiten abzugreifen. Dadurch dürfte dieser Angriffsvektor wohl zu recht den Spitzenplatz einnehmen. An zweiter Stelle rangiert eine ähnliche Schwachstelle bei Betriebssystem-Kommandos, die eine so genannte OS Command Injection ermöglichen.

An dritter Stelle werden die klassischen Buffer Overflows gelistet. Über diese können Angreifer Schadcodes in den Arbeitsspeicher eines Systems schleusen, der anschließend ausgeführt wird. Diese häufigen Programmierfehler entstehen, wenn die Größe von Eingaben nicht genau kontrolliert wird.

Aber auch das Cross-site Scripting, für die Webentwickler eigentlich auch seit langer Zeit sensibilisiert sein sollten, steht immer noch weit oben in der Liste. Der Fehler ermöglicht es beispielsweise, über Formularfelder fremden Code in eine Webanwendung einzuschleusen und sie so beispielsweise dazu zu bringen, Daten anderer Nutzer preiszugeben.

Dem folgen auf den folgenden Plätzen fehlende Authentifizierungen, sei es nun für bestimmte kritische Funktionen oder generell für eine Anwendung. Einige Fehler, die ebenfalls immer wieder passieren, sind aber nicht nur auf eine schlampige Programmierung zurückzuführen, sondern liegen bereits in der Konzeption begründet. Dazu gehören beispielsweise die unverschlüsselte Übertragung sensibler Daten.

Mit der Liste wollen das SANS Institut und seine Partner Entwickler dafür sensibilisieren, stärker auf häufige Fehler zu achten. An der Erstellung sind auch das MITRE, eine nichtkommerzielle Organisation, die sich im öffentlichen Interesse mit IT-Infrastrukturen befasst, sowie verschiedene Sicherheitsexperten aus den USA und Europa beteiligt.

Weitere Informationen: Die komplette Top25-Liste Sicherheitslücke, Fehler, Bug Windell Oskay / Flickr