Hacker: Beute auf Basis überwiegend bekannter Schwachstellen

HackerOne veröffentlicht Forschungseinblick auf die zehn wirkungsvollsten Typen

[datensicherheit.de, 11.06.2019] HackerOne veröffentlicht nach eigenen Angaben erstmals einen Forschungseinblick hinsichtlich der zehn wirkungsvollsten Sicherheitsschwachstellen, die im Rahmen seiner Programme gemeldet wurden. An diesen Schwachstellen haben die bei der HackerOne-Plattform erfassten Hacker demnach über 54 Millionen US-Dollar Beute gemacht. HackerOne hat eine interaktive Seite veröffentlicht, auf der die Schwachstellen mit dem höchsten Schweregrad verzeichnet sind. Dieser sei zum einen bezogen auf die Zahl der Meldungen insgesamt, zum anderen auf die Häufigkeit mit der diese Schwachstellen seitens der Industrie gemeldet wurden. Die Daten basierten auf über 120.000 gemeldeten Schwachstellen aus mehr als 1.400 Kundenprogrammen weltweit.

HackerOne: Top 10 der Schwachstellen

• Cross-site Scripting-Angriffe – AlleTypen (DOM-basiert, reflektiert, beständig, generisch)
• Unsachgemäße Authentifizierung – generisch
• Offenlegung von Informationen
• Privilege Escalation / Privilegienerweiterung
• SQL-Injektion
• Code-Injektion
• Server-Side Request Forgery (SSRF) – serverseitige Fälschung von Anforderungen
• Insecure Direct Object Reference (IDOR) – Objektreferenz auf diese Objekte ist manipulierbar
• Unsachgemäß vergebene Zugriffsberechtigungen / Zugriffskontrolle – generisch
• Cross-Site Request Forgery (CSRF) – Unterschieben eines ungewollten Webaufrufs

Für Sicherheitsteams von besonderem Interesse

„Wir sehen eine 40-prozentige Überschneidung zwischen den Top-10-Sicherheitsschwachstellen mit der jüngsten OWASP-Top-10-Veröffentlichung. Cross-site Scripting-Angriffe (XSS), das Offenlegen von Informationen und Injektionsvarianten sind auf beiden Listen vertreten. Beide Quellen unterstützen Sicherheitsabteilungen dabei, die größten Risiken zu erkennen“, sagt Miju Han von HackerOne.
Ihre Liste beziehe zusätzlich mit ein, wie oft die betreffenden Schwachstellen aufgetreten sind und wie sich ihr Wert in „Bug Bounties“ beziffert. „Das sollte für Sicherheitsteams von besonderem Interesse sein, wenn man sich vor kriminellen Hackern schützen will.”

Kritisch oder höchst schwerwiegend: 60 % der ausgezahlten „Bug Bounties“

„Wenn man sich die kumulative Höhe der ,Bounties‘ anschaut, die für kritische und höchst schwerwiegende Bugs gezahlt wurden, macht die Summe 60 Prozent der insgesamt ausgezahlten ,Bug Bounties‘ aus. Wenn man die Zahl der gemeldeten Schwachstellen untereinander vergleicht, sind darunter drei Mal so viele schwerwiegende Bugs gegenüber kritischen gemeldet“, berichtet Miju.
Auf der anderen Seite summierten sich die für minderschwere Bugs gezahlten ,Bounties‘ auf nur acht Prozent der Gesamtsumme, die in etwa 30 Prozent der Zahl der gemeldeten Schwachstellen entspreche. „Wir sind jetzt in der glücklichen Lage das umfassende Datenmaterial mit unseren Kunden und der Industrie zu teilen. Diese Informationen gestatten eine zuverlässige Einschätzung welche Schwachstellen wahrscheinlich am teuersten werden.”

Weitere Informationen zum Thema:

hackerone
The HackerOne Top 10 Most Impactful Vulnerability Types

|1:blog, 11.06.2019
THE HACKERONE TOP 10 MOST IMPACTFUL AND REWARDED VULNERABILITY TYPES

datensicherheit.de, 28.04.2019
HackerOne-Jahresbericht: Hacker Community wächst um 100 %

datensicherheit.de, 21.08.2018
Nextcloud setzt auf Sicherheit mit Bug Bounty-Programm von HackerOne