Konkrete Kritik an CVSS4
Marc Ruef
Statistische Auswertung von Schwachstellenklassen
Lesezeit: 3 Minuten
Angewandte Computersicherheit ist eigentlich relativ simpel:
Eine Schwachstelle entsteht dann, wenn auf Grund fehlender Limitierungen eine Zugriffsmöglichkeit entsteht, die so nicht gewollt war. In Bezug auf die Programmierung bedeutet dies, dass man unvertrauenswürdigen Daten vertraut und auf der Basis dieser uneingeschränkt Zugriffe durchführen lässt.
Eine Auswertung verschiedener Verwundbarkeitsdatenbanken (scip VulDB, Securityfocus, Secunia und OSVDB) sollte zeigen, welche Klasse von Fehlern vorzugsweise zu einer in der Öffentlichkeit wahrgenommenen Schwachstelle führt.
Die soeben gezeigte Grafik illustriert die nachfolgend vorgetragenen Ableitungen.
- Ein Grossteil der Fehler mit 44.49% beruht auf einer fehlenden oder fehlerhaften Eingabeüberprüfung als Versäumnis während einer Programmentwicklung.
- Das zweitgrösste Problem mit 15.92% bezieht sich auf Speicherschutzverletzungen (Pufferüberlauf- und Format String-Schwachstellen), die sowohl der Gefährlichkeit der genutzten Programmiersprache als auch der Nachlässigkeit der Entwickler angerechnet werden kann.
- Dicht darauf folgen mit 14.18% Designfehler, die in Produkten bzw. den eingesetzten Mechanismen beobachtet werden können.
- Des Weiteren tragen fehlende oder fehlerhafte Ausnahmebehandlungen mit 7.66% zu Unsicherheiten bei.
- Und die letzte grosse Schwachstelle schlägt mit 6.27% bei fehlenden oder fehlerhaften Zugriffsmechanismen zu Buche.
Bei dieser Betrachtung ist auffällig, dass wirklich ein Grossteil der Fehler auf die Unpässlichkeit bei der Entwicklung zurückzuführen ist. Es ist also in erster Linie stets und ausschliesslich die Aufgabe des Entwicklers, ein sicheres Produkt zu entwerfen und umzusetzen.
Lediglich in Bezug auf Speicherschutzverletzungen, die an zweiter Stelle genannt wurden, können partiell ungünstige technische Grundvoraussetzungen vorgeschoben werden. Werden denn Sprachen eingesetzt, die die manuelle Verwaltung des Speichers erfordern – allen voran C/C++ -, steigt das Risiko der Einführung von Sicherheitsproblemen um nahezu 16%.
Die sichere Architektur eines Produkts, die Wahl einer soliden Programmiersprache ohne schwer bewältigende Komplexität sowie das Durchsetzen umfassender Eingabe- sowie Fehlerüberprüfung helfen also dabei, die wichtigsten Sicherheitsprobleme bei der Software-Entwicklung in den Griff zu kriegen.
Über den Autor
Links
Sie brauchen professionelles Vulnerability Management?
Unsere Spezialisten kontaktieren Sie gern!
×
scip Cybersecurity Forecast
Marc Ruef
Voice Authentisierung
Marc Ruef
Bug-Bounty
Marc Ruef
Sie brauchen Unterstützung bei einem solchen Projekt?
Unsere Spezialisten kontaktieren Sie gern!