Was ist OWASP? Einführung in die OWASP Top 10 samt Schwachstellen und Risiken

Die OWASP Top 10 umfasst eine weithin anerkannte Liste der kritischsten Sicherheitsrisiken für Webanwendungen. Die Liste dient als Leitfaden für Entwickler, Sicherheitsexperten und Organisationen zur Priorisierung ihrer Bemühungen bei der Identifizierung und Minderung kritischer Sicherheitsrisiken für Webanwendungen.

Das Vorhandensein eines Risikos auf der OWASP Top 10-Liste gibt nicht unbedingt seine Prävalenz oder Schwere in allen Webanwendungen an, und die Top 10 werden nicht in einer bestimmten Reihenfolge oder nach Priorität eingestuft.

Die OWASP Top 10 der Sicherheitsrisiken für Webanwendungen 2021 sind:

1. Fehlerhafte Zugriffskontrollen. Diese Schwachstelle entsteht, wenn eine unzureichende Durchsetzung von Zugriffskontrollen und Autorisierungsmaßnahmen Angreifern den Zugriff auf nicht autorisierte Funktionen oder Daten ermöglicht. Dies kann auf unsichere direkte Objektreferenzen (IDORs, Insecure Direct Object References) zurückzuführen sein. Diese entstehen, wenn eine Anwendung Benutzereingaben, die als direkter Verweis auf ein internes Objekt verwendet werden, nicht validiert oder autorisiert. Sie können ebenfalls aufgrund fehlender Zugriffskontrollen auf Funktionsebene auftreten, wenn die Anwendung Zugriffskontrollen nur in der anfänglichen Authentifizierungs- oder Autorisierungsphase validiert, diese Kontrollen jedoch nicht in allen Funktionen oder Vorgängen der Anwendung durchgängig durchgesetzt werden. Eine Webanwendungs-Firewall (WAF) kann zum Schutz vor diesen Angriffen beitragen, indem sie Zugriffskontrollen überwacht und durchsetzt, um den unberechtigten Zugriff auf vertrauliche Objekte oder Ressourcen zu verhindern.

2. Kryptographische Fehler. Dieses Risiko entsteht durch einen unzureichenden Schutz vertraulicher Daten bei der Übertragung und im Ruhezustand. Kryptographische Fehler können zu Datenschutzverletzungen, unberechtigtem Zugriff auf vertrauliche Informationen und der Nichteinhaltung von Datenschutzbestimmungen wie der EU-Datenschutz-Grundverordnung (DSGVO) und Finanzstandards wie den PCI Data Security Standards (PCI DSS) führen. Diese Fehler können auf eine unsichere kryptographische Speicherung, die Speicherung von Daten im Klartext oder eine unsichere Schlüsselverwaltung zurückzuführen sein. Das Risiko kann auch von Informationslecks herrühren, die durch eine schwache Schlüssel- oder Zufallszahlengenerierung oder Fehler in kryptographischen Protokollen entstehen können.
3. Einschleusungen. Einschleusungen treten auf, wenn Angreifer nicht vertrauenswürdige oder feindliche Daten in Befehls- oder Abfragesprachen einfügen oder wenn vom Benutzer bereitgestellte Daten von der Anwendung nicht validiert, gefiltert oder bereinigt werden, was zur unbeabsichtigten Ausführung schädlicher Befehle führt. Diese Risikokategorie umfasst NoSQL-, OS-Command-, LDAP- und SQL-Einschleusungen sowie Cross-Site-Scripting (XSS), bei dem Angreifer bösartige clientseitige Skripte wie JavaScript in Websites einfügen, die von anderen Benutzern aufgerufen werden. Dies kann zum Diebstahl vertraulicher Daten wie Anmeldedaten, personenbezogenen Daten oder Sitzungscookies führen. Eine WAF kann dazu beitragen, schädliche Code-Einschleusungsversuche zu erkennen und zu blockieren, indem sie eingehende Anfragen überprüft und filtert, einschließlich reflektiertes (nicht persistentes), gespeichertes (persistentes) und Dokumentobjektmodul (DOM)-basiertes XSS. So kann verhindert werden, dass diese Angriffe die Anwendung erreichen.
4. Unsicherer Entwurf. Hierbei handelt es sich um eine breite Kategorie verschiedener Schwachstellen, die sich durch fehlende oder ineffektive Sicherheitskontrollen und architektonische Fehler auszeichnen. Diese Fehler können auftreten, wenn eine Anwendung so entworfen wurde, dass sie sich auf Prozesse stützt, die von Natur aus unsicher sind, oder wenn erforderliche Sicherheitskontrollen zur Abwehr bestimmter Angriffe nicht implementiert sind. Diese Risiken können durch den verstärkten Einsatz von Bedrohungsmodellen, sicheren Entwurfsmustern und Referenzarchitekturen verringert werden.  
5. Sicherheitsrelevante Fehlkonfigurationen. Ein Mangel an Sicherheitshärtung in Webanwendungs-Frameworks, auf Plattformen, auf Servern oder bei Sicherheitskontrollen kann zu unberechtigtem Zugriff, der Offenlegung vertraulicher Informationen oder anderen Sicherheitslücken führen. Risiken aufgrund von sicherheitsrelevanten Fehlkonfigurationen können sich auch aus falsch konfigurierten Berechtigungen für Cloud-Dienste oder der Installation oder Aktivierung unnötiger Funktionen wie ungenutzte Ports, Dienste, Konten oder Berechtigungen ergeben. Eine Fehlkonfiguration stellt sowohl für Webanwendungen als auch für APIs ein erhebliches Risiko dar, da große Cloud-Anbieter unterschiedliche Standardeinstellungen in Bezug auf die Sicherheit aufweisen und die Architektur zunehmend dezentralisiert und über eine Multi-Cloud-Umgebung verteilt wird.    
6. Anfällige und veraltete Komponenten. Die Verwendung veralteter, nicht gepatchter oder anfälliger Komponenten wie Bibliotheken, Frameworks oder Plug-ins kann Anwendungen bekannten Sicherheitslücken aussetzen und das Risiko einer Ausnutzung erhöhen. Diese Risiken können sich aus nicht unterstützter oder veralteter Software ergeben, einschließlich Betriebssystem (OS), Web-/Anwendungsserver, Datenbankmanagementsystem (DBMS), Anwendungen, APIs und allen Komponenten, Laufzeitumgebungen und Bibliotheken. Diese Bedrohungen sind besonders gefährlich, wenn Unternehmen keine rechtzeitigen, risikobasierten Maßnahmen ergreifen, um die zugrunde liegenden Plattformen, Frameworks und Abhängigkeiten eines Systems zu schützen oder zu aktualisieren, sodass das System über Tage oder Woche unnötigen Risiken ausgesetzt ist. Komplexe Software-Lieferketten und Automatisierungen über CI/CD-Pipelines erhöhen das Risiko der Einführung anfälliger Software in den IT-Stack. Eine WAF kann als kritischer Schutz vor der Ausnutzung von Schwachstellen dienen.  
7. Fehler bei der Identifizierung und Authentifizierung. Durch Schwachstellen in der Authentifizierung, Identität und Sitzungsverwaltung können Angreifern Benutzerkonten, Passwörter und Sitzungstoken kompromittieren oder sich die unsichere Sitzungsverarbeitung zunutze machen. Fehler in diesen Bereichen können automatisierte Angriffe wie das Credential Stuffing ermöglichen. Passwortbezogene Schwachstellen stellen die häufigste Quelle für diese Risiken dar, da viele Menschen Passwörter wiederverwenden oder Standard-, schwache oder bekannte Passwörter verwenden. Probleme bei der Sitzungsverwaltung können auch zu Angriffen im Zusammenhang mit der Authentifizierung führen, insbesondere wenn Benutzersitzungen oder Authentifizierungstoken während der Abmeldung oder eines Zeitraums der Inaktivität nicht ordnungsgemäß außer Kraft gesetzt werden. Angriffe, die Authentifizierungskontrollen umgehen, stellen ein zunehmendes Risiko für Webanwendungen und APIs dar, wie in den Projekten OWASP Top 10, Top 10 der API-Sicherheit und automatisierte Bedrohungen beschrieben.
8. Software- und Datenintegritätsfehler. Diese Schwachstellen entstehen, wenn Anwendungscode und Infrastruktur nicht vor Integritätsverletzungen von Daten und Software geschützt sind. Zu dieser Situation kommt es, wenn eine Anwendung auf Plug-ins, Bibliotheken oder Module aus nicht vertrauenswürdigen Quellen, Repositorys und CDNs angewiesen ist. Dieser Fall kann auch bei Software-Updates, Änderungen an vertraulichen Daten und CI/CD-Pipeline-Änderungen eintreten, wenn diese nicht validiert werden. Angreifer könnten ihre eigenen Updates hochladen, die auf allen Installationen verteilt und ausgeführt werden. Die unsichere Deserialisierung, bei der eine Anwendung nicht vertrauenswürdige serialisierte Daten verwendet und diese Daten verarbeitet, ohne deren Gültigkeit sicherzustellen, gehört ebenfalls zu dieser Risikokategorie und ermöglicht Angriffe wie Code-Ausführung aus der Ferne (RCE, Remote Code Execution) und Rechteausweitung. 
9. Fehler bei der Sicherheitsprotokollierung und -überwachung. Eine unzureichende Protokollierung und Überwachung kann die rechtzeitige Erkennung von und Reaktion auf Sicherheitsvorfälle behindern sowie die Identifizierung und Abwehr von Angriffen oder nicht autorisierten Aktivitäten erschweren. Dies kann bedeuten, dass überprüfbare Ereignisse wie Anmeldungen, fehlgeschlagene Anmeldungsversuche und hochwertige Transaktionen nicht identifiziert oder protokolliert werden und dass Anwendungen aktive Angriffe nicht in Echtzeit erkennen.  
10. Serverseitige Anfragenfälschung (SSRF, Server-Side Request Forgery). Diese Schwachstelle entsteht, wenn eine Anwendung eine von einem Benutzer eingegebene URL nicht überprüft oder bereinigt, bevor Daten von einer Remote-Ressource abgerufen werden. Angreifer können diese Schwachstellen nutzen, um Anwendungen zu zwingen, auf schädliche Webinhalte zuzugreifen, auch wenn sie durch eine Firewall oder andere Abwehrmaßnahmen geschützt sind. Zu diesen Angriffen kann es auch kommen, wenn die ins Visier genommene Ressource Vertrauensbeziehungen zu anderen Systemen hat, wie z. B. einem Cloud-Metadatendienst oder Backend-APIs, die es einem Angreifer ermöglichen, Anfragen an diese vertrauenswürdigen Dienste zu stellen und vertrauliche Informationen zu extrahieren oder nicht autorisierte Aktionen auszuführen. Entwerfen Sie Systeme zur SSRF-Abwehr mit einem „Least Privilege“-Ansatz und verwenden Sie eine WAF, um die URI-Parameter (Uniform Resource Identifier, einheitliche Ressourcenkennung) in Ihrer Sicherheitsrichtlinie explizit zu definieren und Hosts, die darauf zugreifen können, zu genehmigen bzw. zu verbieten.

Die OWASP Top 10 2021 umfassen einige neue Kategorien und Namensänderungen im Vergleich zu den vorherigen OWASP Top 10 2017. Diese Änderungen beinhalteten die Integration der Risikobedrohung „XML External Entities (XXE)“ aus dem Jahr 2017 in die Kategorie „Sicherheitsrelevante Fehlkonfiguration“ aus dem Jahr 2021 und das Hinzufügen der Bedrohung „Cross-Site-Scripting (XSS)“ aus dem Jahr 2017 zur Kategorie „Einschleusung“ aus dem Jahr 2021. Das Risiko „Unsichere Deserialisierung“ aus dem Jahr 2017 ist jetzt Teil der Kategorie „Software- und Datenintegritätsfehler“ aus dem Jahr 2021.