Was ist OWASP? Einführung in die 10 wichtigsten Schwachstellen und Risiken von OWASP

Die OWASP Top 10 sind eine weithin anerkannte Liste der kritischsten Sicherheitsrisiken für Webanwendungen. Die Liste dient Entwicklern, Sicherheitsexperten und Organisationen als Leitfaden bei der Priorisierung ihrer Bemühungen zur Identifizierung und Eindämmung kritischer Sicherheitsrisiken für Web-Anwendungen. 

Das Vorhandensein eines Risikos in der OWASP-Top-10-Liste bedeutet nicht unbedingt, dass es in allen Webanwendungen weit verbreitet ist oder schwerwiegend ist. Zudem sind die Top Ten weder in einer bestimmten Reihenfolge noch nach Priorität angeordnet.  

Die OWASP Top 10 Sicherheitsrisiken für Webanwendungen für 2021 sind:

1. Defekte Zugriffskontrollen. Diese Sicherheitslücke entsteht, wenn Angreifer durch unzureichende Durchsetzung von Zugriffskontrollen und Autorisierungen unbefugten Zugriff auf Funktionen oder Daten erhalten. Der Grund hierfür können unsichere direkte Objektverweise (IDORs) sein, die entstehen können, wenn es einer Anwendung nicht gelingt, Benutzereingaben zu validieren oder zu autorisieren, die als direkte Referenz auf ein internes Objekt verwendet werden. Dies kann auch an fehlenden Zugriffskontrollen auf Funktionsebene liegen, wenn die Anwendung die Zugriffskontrollen nur in der ersten Authentifizierungs- oder Autorisierungsphase validiert, diese Kontrollen aber nicht konsistent in allen Funktionen oder Vorgängen der Anwendung durchsetzt. Eine Web Application Firewall (WAF) kann zum Schutz vor diesen Angriffen beitragen, indem sie Zugriffskontrollen überwacht und durchsetzt, um unbefugten Zugriff auf vertrauliche Objekte oder Ressourcen zu verhindern.

2. Kryptografische Fehler. Dieses Risiko entsteht durch den unzureichenden Schutz vertraulicher Daten während der Übertragung und im Ruhezustand. Kryptografische Fehler können zu Datenlecks, unberechtigtem Zugriff auf vertrauliche Informationen und zur Nichteinhaltung von Datenschutzbestimmungen, etwa der EU-Datenschutz-Grundverordnung (DSGVO), und Finanzstandards wie den PCI Data Security Standards (PCI DSS), führen. Diese Fehler können auf unsichere kryptografische Speicherung, Speicherung der Daten im Klartext oder unsichere Schlüsselverwaltung zurückzuführen sein. Das Risiko kann auch aus Informationslecks resultieren, die durch schwache Schlüssel- oder Zufallszahlengenerierung oder durch Fehler in kryptografischen Protokollen verursacht werden können. 
3. Injektionsangriffe. Injektionsfehler treten auf, wenn Angreifer nicht vertrauenswürdige oder feindselige Daten in Befehls- oder Abfragesprachen einfügen oder wenn vom Benutzer bereitgestellte Daten von der Anwendung nicht validiert, gefiltert oder bereinigt werden, was zur unbeabsichtigten Ausführung bösartiger Befehle führt. Diese Risikokategorie umfasst NoSQL-, OS-Befehls-, LDAP- und SQL-Injection-Angriffe und schließt auch Cross-Site Scripting (XSS) ein , bei dem Angreifer schädliche clientseitige Skripts, wie etwa JavaScript, in Webseiten einschleusen, die von anderen Benutzern angezeigt werden. Dies kann zum Diebstahl vertraulicher Informationen wie Anmeldeinformationen, personenbezogener Daten oder Sitzungscookies führen. Eine WAF kann beim Erkennen und Blockieren von Einschleusungsversuchen bösartigen Codes helfen, indem sie eingehende Anfragen, einschließlich reflektierter (nicht persistenter), gespeicherter (persistenter) und auf Document Object Module (DOM) basierender XSS, prüft und filtert und so verhindert, dass diese die Anwendung erreichen.
4. Unsicheres Design. Dabei handelt es sich um eine breite Kategorie, die unterschiedliche Schwachstellen darstellt, die sich in fehlenden oder ineffektiven Sicherheitskontrollen und Architekturfehlern äußern. Diese Fehler können auftreten, wenn eine Anwendung auf Prozessen basiert, die grundsätzlich unsicher sind, oder wenn die erforderlichen Sicherheitskontrollen zum Schutz vor bestimmten Angriffen nicht implementiert sind. Diese Risiken können durch eine verstärkte Nutzung von Bedrohungsmodellierung, sicheren Entwurfsmustern und Referenzarchitekturen verringert werden.  
5. Sicherheitsfehlkonfigurationen. Eine fehlende Sicherheitshärtung in Web-Anwendungs-Frameworks, Plattformen, Servern oder Sicherheitskontrollen kann zu unbefugtem Zugriff, zur Offenlegung vertraulicher Informationen oder anderen Sicherheitslücken führen. Risiken aufgrund von Sicherheitsfehlkonfigurationen können auch durch falsch konfigurierte Berechtigungen für Cloud-Dienste oder die Installation oder Aktivierung unnötiger Funktionen wie ungenutzter Ports, Dienste, Konten oder Berechtigungen entstehen. Eine falsche Konfiguration sowohl von Webanwendungen als auch von APIs stellt ein erhebliches Risiko dar, da die großen Cloud-Anbieter unterschiedliche Standardsicherheitsvorgaben haben und die Architektur zunehmend dezentralisiert und über eine Multi-Cloud-Struktur verteilt wird.    
6. Anfällige und veraltete Komponenten. Die Verwendung veralteter, ungepatchter oder anfälliger Komponenten wie Bibliotheken, Frameworks oder Plug-Ins kann Anwendungen bekannten Sicherheitslücken aussetzen und so das Risiko einer Ausnutzung erhöhen. Diese Risiken können durch nicht unterstützte oder veraltete Software entstehen, einschließlich Betriebssystem (OS), Web-/Anwendungsserver, Datenbankverwaltungssystem (DBMS), Anwendungen, APIs und aller Komponenten, Laufzeitumgebungen und Bibliotheken. Diese Bedrohungen sind besonders gefährlich, wenn Unternehmen nicht rechtzeitig über risikobasierte Maßnahmen zur Behebung oder Aktualisierung der zugrunde liegenden Plattform, Frameworks und Abhängigkeiten eines Systems verfügen und das System dadurch tage- oder wochenlang unnötig bekannten Risiken ausgesetzt ist. Komplexe Software-Lieferketten und Automatisierung über CI/CD-Pipelines erhöhen das Risiko, anfällige Software in den IT-Stack einzuschleusen. Eine WAF kann als wichtige Notlösung zum Schutz vor der Ausnutzung von Schwachstellen dienen.  
7. Identifizierungs- und Authentifizierungsfehler. Schwachstellen bei der Authentifizierung, Identitäts- und Sitzungsverwaltung können es Angreifern ermöglichen, Benutzerkonten, Passwörter und Sitzungstoken zu kompromittieren oder eine unsichere Sitzungsverwaltung auszunutzen. Fehler in diesen Bereichen können automatisierte Angriffe wie Credential Stuffing ermöglichen. Die häufigste Quelle dieser Risiken sind Kennwort-bezogene Schwachstellen, da viele Benutzer Kennwörter mehrfach verwenden oder standardmäßige, schwache oder bekannte Kennwörter nutzen. Probleme bei der Sitzungsverwaltung können auch zu authentifizierungsbezogenen Angriffen führen, insbesondere wenn Benutzersitzungen oder Authentifizierungstoken beim Abmelden oder während einer Zeit der Inaktivität nicht ordnungsgemäß ungültig gemacht werden. Angriffe, die Authentifizierungskontrollen umgehen, stellen ein zunehmendes Risiko sowohl für Webanwendungen als auch für APIs dar, wie in den Projekten OWASP Top 10, API Security Top 10 und Automated Threats ausführlich beschrieben wird.  
8. Fehler bei der Software- und Datenintegrität. Diese Schwachstellen sind auf Anwendungscode und Infrastruktur zurückzuführen, die keinen Schutz vor Integritätsverletzungen von Daten und Software bieten. Dies kann auftreten, wenn eine Anwendung auf Plugins, Bibliotheken oder Module aus nicht vertrauenswürdigen Quellen, Repositories und CDNs angewiesen ist. Dies kann auch bei Softwareupdates, Änderungen vertraulicher Daten und nicht validierten CI/CD-Pipeline-Änderungen auftreten. Angreifer können möglicherweise eigene Updates hochladen, um sie zu verteilen und auf allen Installationen auszuführen. Zu dieser Risikokategorie gehört auch die unsichere Deserialisierung, bei der eine Anwendung nicht vertrauenswürdige serialisierte Daten verwendet, ohne deren Gültigkeit sicherzustellen. Dadurch sind Angriffe wie Remote Code Execution (RCE) und Rechteausweitung möglich. 
9. Fehler bei der Sicherheitsprotokollierung und -überwachung. Unzureichende Protokollierung und Überwachung können die rechtzeitige Erkennung von Sicherheitsvorfällen und die Reaktion darauf behindern und die Identifizierung und Eindämmung von Angriffen oder nicht autorisierten Aktivitäten erschweren. Dies kann bedeuten, dass überprüfbare Ereignisse wie Anmeldungen, fehlgeschlagene Anmeldungen und Transaktionen mit hohem Wert nicht identifiziert oder protokolliert werden und dass Anwendungen aktive Angriffe nicht in Echtzeit erkennen.  
10. Serverseitige Anforderungsfälschung (SSRF). Diese Sicherheitslücken treten auf, wenn eine Anwendung die von einem Benutzer eingegebene URL nicht validiert oder bereinigt, bevor sie Daten von einer Remoteressource abruft. Angreifer können diese Schwachstellen ausnutzen, um Anwendungen zum Zugriff auf bösartige Webziele zu zwingen, selbst wenn diese durch eine Firewall oder andere Abwehrmaßnahmen geschützt sind. Solche Angriffe können auch erfolgen, wenn die angegriffene Ressource Vertrauensbeziehungen zu anderen Systemen unterhält, etwa zu einem Cloud-Metadatendienst oder Back-End-APIs. Dadurch könnte ein Angreifer Anfragen an diese vertrauenswürdigen Dienste stellen und vertrauliche Informationen extrahieren oder nicht autorisierte Aktionen ausführen. Um SSRF einzudämmen, entwerfen Sie Systeme für den Zugriff mit geringsten Privilegien und verwenden Sie eine WAF , um die Uniform Resource Identifier (URI)-Parameter in Ihrer Sicherheitsrichtlinie explizit zu definieren und Hosts, die auf sie zugreifen können, zuzulassen/zu verbieten.

Die OWASP Top 10 von 2021 weisen einige neue Kategorien und Namensänderungen gegenüber den vorherigen OWASP Top 10 von 2017 auf. Zu diesen Änderungen gehörten die Integration der Risikobedrohung „XML External Entities“ (XXE) aus dem Jahr 2017 in die Kategorie „Sicherheitsfehlkonfiguration“ von 2021 und das Hinzufügen von „Cross-Site Scripting“ (XSS) aus dem Jahr 2017 zur Kategorie „Injection“ von 2021. Das Risiko „Unsichere Deserialisierung“ aus dem Jahr 2017 ist jetzt Teil der Kategorie „Software- und Datenintegritätsfehler“ von 2021.