Aktuelles, Branche, Studien - geschrieben von dp am Dienstag, Juni 11, 2019 16:45 - noch keine Kommentare
Hacker: Beute auf Basis überwiegend bekannter Schwachstellen
HackerOne veröffentlicht Forschungseinblick auf die zehn wirkungsvollsten Typen
[datensicherheit.de, 11.06.2019] HackerOne veröffentlicht nach eigenen Angaben erstmals einen Forschungseinblick hinsichtlich der zehn wirkungsvollsten Sicherheitsschwachstellen, die im Rahmen seiner Programme gemeldet wurden. An diesen Schwachstellen haben die bei der HackerOne-Plattform erfassten Hacker demnach über 54 Millionen US-Dollar Beute gemacht. HackerOne hat eine interaktive Seite veröffentlicht, auf der die Schwachstellen mit dem höchsten Schweregrad verzeichnet sind. Dieser sei zum einen bezogen auf die Zahl der Meldungen insgesamt, zum anderen auf die Häufigkeit mit der diese Schwachstellen seitens der Industrie gemeldet wurden. Die Daten basierten auf über 120.000 gemeldeten Schwachstellen aus mehr als 1.400 Kundenprogrammen weltweit.
HackerOne: Top 10 der Schwachstellen
- Cross-site Scripting-Angriffe – AlleTypen (DOM-basiert, reflektiert, beständig, generisch)
- Unsachgemäße Authentifizierung – generisch
- Offenlegung von Informationen
- Privilege Escalation / Privilegienerweiterung
- SQL-Injektion
- Code-Injektion
- Server-Side Request Forgery (SSRF) – serverseitige Fälschung von Anforderungen
- Insecure Direct Object Reference (IDOR) – Objektreferenz auf diese Objekte ist manipulierbar
- Unsachgemäß vergebene Zugriffsberechtigungen / Zugriffskontrolle – generisch
- Cross-Site Request Forgery (CSRF) – Unterschieben eines ungewollten Webaufrufs
Für Sicherheitsteams von besonderem Interesse
„Wir sehen eine 40-prozentige Überschneidung zwischen den Top-10-Sicherheitsschwachstellen mit der jüngsten OWASP-Top-10-Veröffentlichung. Cross-site Scripting-Angriffe (XSS), das Offenlegen von Informationen und Injektionsvarianten sind auf beiden Listen vertreten. Beide Quellen unterstützen Sicherheitsabteilungen dabei, die größten Risiken zu erkennen“, sagt Miju Han von HackerOne.
Ihre Liste beziehe zusätzlich mit ein, wie oft die betreffenden Schwachstellen aufgetreten sind und wie sich ihr Wert in „Bug Bounties“ beziffert. „Das sollte für Sicherheitsteams von besonderem Interesse sein, wenn man sich vor kriminellen Hackern schützen will.”
Kritisch oder höchst schwerwiegend: 60 % der ausgezahlten „Bug Bounties“
„Wenn man sich die kumulative Höhe der ,Bounties‘ anschaut, die für kritische und höchst schwerwiegende Bugs gezahlt wurden, macht die Summe 60 Prozent der insgesamt ausgezahlten ,Bug Bounties‘ aus. Wenn man die Zahl der gemeldeten Schwachstellen untereinander vergleicht, sind darunter drei Mal so viele schwerwiegende Bugs gegenüber kritischen gemeldet“, berichtet Miju.
Auf der anderen Seite summierten sich die für minderschwere Bugs gezahlten ,Bounties‘ auf nur acht Prozent der Gesamtsumme, die in etwa 30 Prozent der Zahl der gemeldeten Schwachstellen entspreche. „Wir sind jetzt in der glücklichen Lage das umfassende Datenmaterial mit unseren Kunden und der Industrie zu teilen. Diese Informationen gestatten eine zuverlässige Einschätzung welche Schwachstellen wahrscheinlich am teuersten werden.”
Weitere Informationen zum Thema:
hackerone
The HackerOne Top 10 Most Impactful Vulnerability Types
|1:blog, 11.06.2019
THE HACKERONE TOP 10 MOST IMPACTFUL AND REWARDED VULNERABILITY TYPES
datensicherheit.de, 28.04.2019
HackerOne-Jahresbericht: Hacker Community wächst um 100 %
datensicherheit.de, 21.08.2018
Nextcloud setzt auf Sicherheit mit Bug Bounty-Programm von HackerOne
Aktuelles, Experten, Veranstaltungen - Sep. 17, 2025 20:50 - noch keine Kommentare
Zehn Jahre Datenschutz im Wandel: Prof. Dr. Dieter Kugelmann lädt zu Wissenschaftlichem Symposium am 10. Oktober 2025 ein
weitere Beiträge in Experten
- Open Source: Drei von vier Unternehmen in Deutschland bereits Nutzer
- Warnung zum Semesterstart: Verbraucherzentrale Hamburg kritisiert überteuerte Nachsendedienste
- Data Act: Geltung verschafft Nutzern von IoT-Systemen mehr Rechte
- Data Act seit 12. September 2025 endgültig in Kraft – doch viele Fragen bleiben offen
- Bundesweiter Warntag 2025: BBK zieht erste positive Bilanz
Aktuelles, Branche - Sep. 16, 2025 15:39 - noch keine Kommentare
Daten als Beute auf Vorrat: Cyberkriminelle setzen auf Fortentwicklung der Quantencomputer
weitere Beiträge in Branche
- GhostRedirector missbraucht Google: ESET entdeckte Manipulation von Suchergebnissen
- CEO DEEPFAKE CALL: Bei Anruf Awareness-Training zum Thema Vishing
- Human Risk Management: KnowBe4-Whitepaper verfolgt ganzheitlichen Ansatz
- OT-Monitoring: Die fünf größten Herausforderungen und Lösungsansätze
- KI-Vishing: Bekannte Stimmen werden zum Sicherheitsrisiko
Aktuelles, Branche, Umfragen - Juli 9, 2025 19:03 - noch keine Kommentare
DigiCert-Umfrage: Manuelle Zertifikatsprozesse führen zu Ausfällen, Compliance-Fehlern und hohen Verlusten im Unternehmen
weitere Beiträge in Service
- Threat Hunting: Bedeutung und Wertschätzung steigt
- Umfrage: 71 Prozent der IT-Entscheidungsträger besorgt über Mehrfachnutzung von Passwörtern
- Fast die Hälfte der Unternehmen ohne geeignete Sicherheitsrichtlinien für Remote-Arbeit
- Umfrage: Bedeutung der Konsolidierung von IT-Sicherheitslösungen
- TeleTrusT-Umfrage: „IT-Sicherheit im Home Office“
Kommentieren