Zum Inhalt

A02:2025 Sicherheitsrelevante Fehlkonfiguration icon

Hintergrund.

Die Kategorie rückt auf von Platz 5 in der vorherigen Ausgabe: 100 % der Anwendungen wurden auf irgendeine Form von Fehlkonfiguration getestet, mit einer durchschnittlichen Inzidenzrate von 3 % und über 719.000 Vorkommen einer Common Weakness Enumeration (CWE) in dieser Risikokategorie. Angesichts der zunehmenden Verlagerung hin zu hoch konfigurierbarer Software ist es nicht verwunderlich, dass diese Kategorie aufsteigt. Bemerkenswerte enthaltene CWEs sind CWE-16 Configuration und CWE-611 Unproper Restriction of XML External Entity Reference (XXE).

Eine sicherheitsrelevante Fehlkonfiguration liegt vor, wenn ein System, eine Anwendung oder ein Cloud-Dienst aus sicherheitstechnischer Sicht falsch eingerichtet ist, wodurch Schwachstellen entstehen.

Punktetabelle.

                                   
Zugeordnete CWEs    Max. Häufigkeit    Durchschn. Häufigkeit    Max. Abdeckung    Durchschn. Abdeckung    Durchschn. gewichtete Ausnutzbarkeit    Durchschn. gewichtete Auswirkung    Gesamtanzahl    Summe CVEs    
16 27.70% 3.00% 100.00% 52.35% 7.96 3.97 719,084 1,375

Beschreibung.

Die Anwendung besitzt möglicherweise Schwachstellen, wenn Folgendes zutrifft: * Mangelhafte Sicherheitshärtung des Anwendungsstacks oder ungeeignet konfigurierte Berechtigungen auf Cloud-Diensten. * Nicht benötigte Features sind aktiviert oder installiert (z. B. unnötige Ports, Dienste, Seiten, Accounts oder Rechte). * Standardkonten und -passwörter sind aktiviert bzw. unverändert. * Die Fehlerbehandlung gibt Stack-Traces oder andere interne technische Fehlermeldungen an Anwender:innen preis. * Für aktualisierte Systeme sind die neuesten Sicherheitsfeatures deaktiviert oder nicht sicher konfiguriert. * Die Sicherheitseinstellungen in den Anwendungsservern und -frameworks (z. B. Struts, Spring, ASP.NET), Bibliotheken, Datenbanken etc. sind nicht auf sichere Werte gesetzt. * Der Server sendet keine Sicherheits-Header oder -Direktiven, bzw. diese sind nicht sicher konfiguriert. * Die Software ist veraltet oder verwundbar (siehe A06:2025-Unsichere oder veraltete Komponenten).

Ohne einen abgestimmten und reproduzierbaren Prozess zur sicheren Konfiguration sind Systeme einem höheren Risiko ausgesetzt!

Prävention und Gegenmaßnahmen.

Es sollten sichere Installationsprozesse implementiert werden, darunter:

  • Ein wiederholbarer Härtungsprozess, welcher die schnelle und einfache Bereitstellung zusätzlicher Umgebungen, die entsprechend abgesichert sind, ermöglicht. Entwicklungs-, Qualitätssicherungs- und Produktionsumgebungen sollten alle identisch konfiguriert sein, wobei in jeder Umgebung unterschiedliche Zugangsdaten verwendet werden sollten. Dieser Prozess sollte automatisiert werden, um den Aufwand für die Einrichtung einer neuen sicheren Umgebung zu minimieren.
  • Eine minimale Plattform ohne unnötige Funktionen, Komponenten, Dokumentation oder Beispiele: Entfernen Sie Funktionen und Frameworks die Sie nicht verwenden oder installieren Sie diese erst gar nicht.
  • Überprüfen und Aktualisieren der Konfigurationen, die für alle Sicherheitshinweise, Updates und Patches im Rahmen des Patch-Verwaltungsprozesses geeignet sind (siehe A03:2025 – Schwachstellen in der Software-Lieferkette). Überprüfen Sie die Cloud-Speicherberechtigungen (z. B. S3-Bucket-Berechtigungen).

Beispielhafte Angriffsszenarien.

Szenario Nr. 1: Der Anwendungsserver wird mit Beispielanwendungen geliefert, die nicht vom Produktionsserver entfernt wurden. Diese Beispielanwendungen weisen bekannte Schwachstellen auf, die Angreifer:innen nutzen, um den Server zu gefährden. Angenommen, eine dieser Anwendungen ist die Admin-Konsole und die Standardkonten wurden nicht geändert. In diesem Fall meldet sich die/der Angreifer:in mit einem Standardkennwort an und übernimmt die Kontrolle.

Szenario Nr. 2: Die Directory Listings wurden nicht auf dem Server deaktiviert. Angreifer:innen entdecken, dass Verzeichnisse einfach aufgelistet werden können. Die/Der Angreifer:in findet die kompilierten Java-Klassen und lädt sie herunter, dekompiliert sie und betreibt Reverse Engineering, um den Code anzuzeigen. Dies ermöglicht das Findet eines schwerwiegenden Fehlers in der Zugriffskontrolle in der Anwendung.

Szenario Nr. 3: Die Konfiguration des Anwendungsservers ermöglicht die Rückgabe detaillierter Fehlermeldungen an Anwender:innen, wie z. B. Stack-Traces. Dadurch werden möglicherweise vertrauliche Informationen oder zugrunde liegende Fehler wie Komponentenversionen offengelegt, die als angreifbar bekannt sind.

Szenario Nr. 4: Ein Cloud-Dienstanbieter (CSP) gewährt standardmäßig Freigabeberechtigungen zum Internet und ermöglicht dadurch Zugriff auf sensible Daten in der Cloud.

Referenzen.

Liste der zugeordneten CWEs