Schwachstellen von Drittanbietersoftware aus Sicht eines Angreifers

Inhaltsverzeichnis

In der heutigen vernetzten Welt ist Drittanbietersoftware (Third-Party Software) ein vergleichsweise schwaches Glied in der Sicherheitskette hochsicherer Netzwerke und Systeme. Dieser Artikel beleuchtet Sicherheitslücken und Risiken, die von ihr ausgehen, und zeigt, wie solche Schwachstellen von Angreifern ausgenutzt werden können, um grundsätzlich gut gesicherte Infrastrukturen zu kompromittieren. Als konkretes Beispiel sollen zwei durch das Unternehmen Neodyme identifizierte Schwachstellen im Open-Source-XDR (Extended Detection and Response) Wazuh dienen.

iX-tract

• Zahlreiche Vorfälle und Schwachstellen in den vergangenen Monaten haben gezeigt, dass die Nutzung von Software oder Softwareteilen von Dritten gefährlich werden kann.
• Interessant für Angreifer sind insbesondere Produkte, die über das Internet erreichbar sind, sich auf vielen Clients im Unternehmen befinden oder wie Sicherheitssysteme im privilegierten Kontext ausgeführt werden.
• Am Fallbeispiel Wazuh gelang es aufgrund zweier Schwachstellen, Zugriff auf den Server zu erlangen, eigenen Code auszuführen und die lokalen Privilegien auszuweiten.
• Zu einem umfassenden Sicherheitskonzept im Unternehmen gehört zwingend eine Risikobetrachtung und -modellierung in Bezug auf Drittanbietersoftware.

Mehr zu IT-Sicherheitsstandards

• Sicherheit von Drittanbietersoftware aus Sicht eines Angreifers
• Wazuh: Unternehmenssicherheit mit Open Source gewährleisten
• Interview zum kaum vorhandenen Sicherheitsstandard im öffentlichen Sektor
• NIS2 und andere Sicherheitskonzepte erklärt

Zahlreiche Angriffe 2024

Bereits in der ersten Hälfte des vergangenen Jahres gab es verschiedene Angriffe und bekannt gewordene Schwachstellen, die die Diskussion um Lieferkettensicherheit bei Software (auch Supply Chain Security genannt) neu befeuert haben: Ende März wurde eine Schwachstelle im Linux-Utility xz bekannt, die als aufwendig vorbereitete Backdoor eingeschleust wurde.

Die Schwachstelle bekam die höchste Bewertung in der CVSS-Skala und löste Diskussionen über Abhängigkeiten in Open-Source-Software aus. Auch der Angriff im Juni auf Polyfill.io, eine weitverbreitete JavaScript-Library, hat das Thema Lieferkettensicherheit erneut in den Vordergrund gerückt.

Das war die Leseprobe unseres heise-Plus-Artikels "Schwachstellen von Drittanbietersoftware aus Sicht eines Angreifers". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.