Aktuelles, Branche, Studien - geschrieben von dp am Dienstag, Juni 11, 2019 16:45 - noch keine Kommentare
Hacker: Beute auf Basis überwiegend bekannter Schwachstellen
HackerOne veröffentlicht Forschungseinblick auf die zehn wirkungsvollsten Typen
[datensicherheit.de, 11.06.2019] HackerOne veröffentlicht nach eigenen Angaben erstmals einen Forschungseinblick hinsichtlich der zehn wirkungsvollsten Sicherheitsschwachstellen, die im Rahmen seiner Programme gemeldet wurden. An diesen Schwachstellen haben die bei der HackerOne-Plattform erfassten Hacker demnach über 54 Millionen US-Dollar Beute gemacht. HackerOne hat eine interaktive Seite veröffentlicht, auf der die Schwachstellen mit dem höchsten Schweregrad verzeichnet sind. Dieser sei zum einen bezogen auf die Zahl der Meldungen insgesamt, zum anderen auf die Häufigkeit mit der diese Schwachstellen seitens der Industrie gemeldet wurden. Die Daten basierten auf über 120.000 gemeldeten Schwachstellen aus mehr als 1.400 Kundenprogrammen weltweit.
HackerOne: Top 10 der Schwachstellen
- Cross-site Scripting-Angriffe – AlleTypen (DOM-basiert, reflektiert, beständig, generisch)
- Unsachgemäße Authentifizierung – generisch
- Offenlegung von Informationen
- Privilege Escalation / Privilegienerweiterung
- SQL-Injektion
- Code-Injektion
- Server-Side Request Forgery (SSRF) – serverseitige Fälschung von Anforderungen
- Insecure Direct Object Reference (IDOR) – Objektreferenz auf diese Objekte ist manipulierbar
- Unsachgemäß vergebene Zugriffsberechtigungen / Zugriffskontrolle – generisch
- Cross-Site Request Forgery (CSRF) – Unterschieben eines ungewollten Webaufrufs
Für Sicherheitsteams von besonderem Interesse
„Wir sehen eine 40-prozentige Überschneidung zwischen den Top-10-Sicherheitsschwachstellen mit der jüngsten OWASP-Top-10-Veröffentlichung. Cross-site Scripting-Angriffe (XSS), das Offenlegen von Informationen und Injektionsvarianten sind auf beiden Listen vertreten. Beide Quellen unterstützen Sicherheitsabteilungen dabei, die größten Risiken zu erkennen“, sagt Miju Han von HackerOne.
Ihre Liste beziehe zusätzlich mit ein, wie oft die betreffenden Schwachstellen aufgetreten sind und wie sich ihr Wert in „Bug Bounties“ beziffert. „Das sollte für Sicherheitsteams von besonderem Interesse sein, wenn man sich vor kriminellen Hackern schützen will.”
Kritisch oder höchst schwerwiegend: 60 % der ausgezahlten „Bug Bounties“
„Wenn man sich die kumulative Höhe der ,Bounties‘ anschaut, die für kritische und höchst schwerwiegende Bugs gezahlt wurden, macht die Summe 60 Prozent der insgesamt ausgezahlten ,Bug Bounties‘ aus. Wenn man die Zahl der gemeldeten Schwachstellen untereinander vergleicht, sind darunter drei Mal so viele schwerwiegende Bugs gegenüber kritischen gemeldet“, berichtet Miju.
Auf der anderen Seite summierten sich die für minderschwere Bugs gezahlten ,Bounties‘ auf nur acht Prozent der Gesamtsumme, die in etwa 30 Prozent der Zahl der gemeldeten Schwachstellen entspreche. „Wir sind jetzt in der glücklichen Lage das umfassende Datenmaterial mit unseren Kunden und der Industrie zu teilen. Diese Informationen gestatten eine zuverlässige Einschätzung welche Schwachstellen wahrscheinlich am teuersten werden.”
Weitere Informationen zum Thema:
hackerone
The HackerOne Top 10 Most Impactful Vulnerability Types
|1:blog, 11.06.2019
THE HACKERONE TOP 10 MOST IMPACTFUL AND REWARDED VULNERABILITY TYPES
datensicherheit.de, 28.04.2019
HackerOne-Jahresbericht: Hacker Community wächst um 100 %
datensicherheit.de, 21.08.2018
Nextcloud setzt auf Sicherheit mit Bug Bounty-Programm von HackerOne
Aktuelles, Experten, Studien - Sep. 3, 2025 0:36 - noch keine Kommentare
Smartphone als Multifunktionsgerät: Wecker, Kamera, Navigationsgerät
weitere Beiträge in Experten
- eco begrüßt BMDS-Eckpunkte zur geplanten TKG-Novelle
- ACSL in Karlsruhe: Neues KI-Institut erforscht Denkmaschinen
- Bundesnetzagentur als Digital Services Coordinator: eco fordert mehr personelle Ressourcen
- Milka-Schokolade: Verbraucherzentrale Hamburg klagt wegen Mogelpackung
- PayPal-Zahlungsausfälle: Verbraucherzentrale NRW gibt Betroffenen Empfehlungen
Aktuelles, Branche - Sep. 2, 2025 15:57 - noch keine Kommentare
Noch immer unterschätztes Cyberrisiko: Insider als Bedrohungsakteure
weitere Beiträge in Branche
- facebook: Vorgetäuschte Kontosperrung als Phishing-Attacke
- Task Scams: Trend Micro warnt vor digitalem Job-Betrug
- Zum Bundesliga-Start warnt Kaspersky vor cyberkriminellem Angriffs-Portfolio
- PromptLock: ESET-Warnung vor erster autonomer KI-Ransomware
- Best Practices für Unternehmen: 8 Cohesity-Tipps zum Schutz vor Cyberangriffen
Aktuelles, Branche, Umfragen - Juli 9, 2025 19:03 - noch keine Kommentare
DigiCert-Umfrage: Manuelle Zertifikatsprozesse führen zu Ausfällen, Compliance-Fehlern und hohen Verlusten im Unternehmen
weitere Beiträge in Service
- Threat Hunting: Bedeutung und Wertschätzung steigt
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
Kommentieren