Secure by Design: OS-Command-Injection im Visier von CISA und FBI
Unter der Marke "Secure by Design" veröffentlichen CISA und FBI in loser Reihe Tipps und Hinweise, mit denen Unternehmen sicherere Software erstellen können.
In der "Secure by Design"-Kampagne weisen die US-amerikanischen (IT-)Sicherheitsbehörden CISA und FBI auf häufig auftretende Schwachstellentypen in Software und ihre Vermeidung hin. Jetzt haben sich die IT-Experten die "OS Command Injection" vorgeknöpft. Dabei können Angreifer etwa aufgrund unzureichender Filterung von übergebenen Daten Befehle einschleusen, die an das Betriebssystem durchgereicht und dort ausgeführt werden.
Diese Schwachstellenart lasse sich durch einen "Secure by Design"-Ansatz verhindern, erklären die Behörden. Dennoch tauchen immer wieder Sicherheitslücken auf, die bösartige Akteure missbrauchen, um Unheil zu stiften. Die jetzige Veröffentlichung sei eine Reaktion auf kürzlich aufgetretene Attacken von bekannten Cybergangs auf OS-Command-Injection-Schwachstellen in Edge-Geräten, die sich gegen Nutzer richteten und diese kompromittierten. Als Beispiele nennen die Autoren eine seit April angegriffene Lücke in Ciscos NX-OS, derartige Schwachstellen im PAN-OS-Betriebssystem von Palo-Alto-Firewalls oder in Ivantis Connect und Policy Secure.
Codeschmuggel auf Edge-Geräte
Diesen Lücken sei gemein, dass sie Angreifern das Ausführen von Code auf Netzwerk-Edge-Geräten ermöglichen. "OS-Command-Injection-Lücken entstehen, wenn Hersteller es nicht schaffen, Eingaben von Nutzern angemessen zu überprüfen und zu filtern, die bei der Zusammensetzung von Befehlen an das unterliegende Betriebssystem zum Einsatz kommen", erklären die Autoren.
Software-Hersteller sollten daher etwa sicherstellen, dass die Programme sicherere Funktionen zum Erstellen von Befehlen nutzen, die die vorgesehene Syntax des Befehls und seiner Argumente berücksichten. Dabei helfe ein Cheat-Sheet der OWASP. Außerdem sollten Entwickler das zugrundeliegende Bedrohungsmodell überprüfen, moderne Komponenten-Bibliotheken einsetzen, Code-Reviews durchführen und schließlich über die gesamte Entwicklung hinweg aggressive Produkttests durchführen, um die Qualität und Sicherheit ihres Codes zu gewährleisten.
Die IT-Experten geben noch weitere konkretere Hinweise, wie sich Software sicherer erstellen lässt. So sollen Entwickler lieber eingebaute Bibliotheksfunktionen nutzen, die Befehle von den Argumenten trennen, anstatt "rohe Zeichenketten" zu erstellen, die an einen Systembefehl übergeben werden. Außerdem sollen sie Input-Parametrisierung einsetzen, um Daten und Befehle zu trennen, und dabei die Eingaben prüfen und filtern. Zudem sollen die Teile des Befehls, der zusammengestellt wird, auf die unbedingt nötigen Benutzereingaben beschränkt werden. Es folgen dann einige plastische Code-Beispiele für Python.
Lesen Sie auch
Selbstverpflichtung: Über 60 Hersteller geloben, "Secure by Design" zu werden
Secure by Design: CISA und FBI warnen vor Directory-Traversal-Lücken
Secure by Design: CISA und FBI wollen SQL-Injections den Garaus machen
Standard-Passwörter: US-Bundesbehörde CISA klopft Herstellern auf die Finger
Hinweise zu sicherem Softwaredesign und Phishing-Schutz von CISA & Co.
Inzwischen haben FBI und CISA bereits fünf Ratgeber im Rahmen der "Secure by Design"-Kampagne veröffentlicht. Sie behandeln etwa Schutz vor Phishing, sagen Standard-Passwörtern in IT-Geräten den Kampf an oder erklären Maßnahmen gegen SQL-Injection-Lücken sowie Directory-Traversal-Sicherheitslecks. Inzwischen haben rund 60 Uternehmen gelobt, "Secure by Design" zu werden.
(dmk)