Studie: Sicherheitslücken in beliebter Open-Source-Software nehmen deutlich zu

Eine Studie von RiskSense warnt vor einer Zunahme von Sicherheitslücken in beliebten Open-Source-Anwendungen. Demnach steckten in den Top-54-Open-Source-Projekten im vergangenen Jahr 968 Anfälligkeiten. Im Jahr 2018 waren es lediglich 421. Insgesamt beschäftigte sich die Studie mit 2694 Schwachstellen, die für die fraglichen Projekte im Zeitraum zwischen 2015 und März 2020 gemeldet wurden.

Im Mittelpunkt der Studie standen Open-Source-Anwendungen, die häufig eingesetzt werden, aber wenig Aufmerksamkeit in der Öffentlichkeit erhalten, darunter Jenkins, MongoDB, Elasticsearch, Chef, GitLab, Spark und Puppert. Linux, WordPress oder Drupal wurden indes nicht berücksichtigt, weil sie Gegenstand einer regelmäßigen Berichterstattung seien, die auch für eine zeitnahe Versorgung mit Patches sorge.

So ist ein Ergebnis der Studie, dass viele der analysierten Bugs erst mehrere Wochen nachdem sie veröffentlicht wurden auch der National Vulnerability Database (NVD) gemeldet wurden. Durchschnittlich lag die Verzögerung bei 54 Tagen. Spitzenreiter wie PostgreSQL und MongoDB brachten es auf 246 beziehungsweise 240 Tage

Die NVD-Daten würden indes von Sicherheits- und Softwarefirmen benutzt, um eigene Sicherheitswarnungen zu veröffentlichen. Die Verzögerung der Meldung an die NVD führe also dazu, dass sich Unternehmen nicht schützen könnten und über längere Zeiträume angreifbar seien.

Als Folge fanden die Forscher auch zahlreiche Beispiele für Sicherheitslücken, die für Cyberangriffe benutzt wurden. Bei Jenkins und MySQL waren es seit 2015 jeweils 15 Schwachstellen – von jeweils mehr als 600. Aber auch 88 Anfälligkeiten in JBoss waren ausreichend, um 8 Bugs zu Waffen zu machen. „Eine große Zahl von CVEs führt jedoch nicht zwangsläufig zu ebenso großen Mengen an waffenfähigen Schwachstellen“, erklärte RiskSense.

Die Forscher fordern nun Verbesserungen beim Umgang mit Sicherheitslücken, da Open-Source-Projekte in fast 99 Prozent aller kommerziellen Software-Projekte integriert seien. Dies sei umso wichtiger, da „Open-Source-Projekte in einem rasanten Tempo neue Schwachstellen erzeugen“.

ANZEIGE

Auf zu neuen Höhen mit SkySQL, der ultimativen MariaDB Cloud

In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Bericht: Google entwickelt App-Quarantäne für Android

Die Sicherheitsfunktion taucht in einer Beta eines kommenden Android-Updates auf. Die Quarantäne beendet unter anderem…

9 Minuten ago

Kostenloser Kurs zum Ausbau von Low-Code-Programmierung

Die OutSystems Developer School hilft Entwicklern, in 2 Wochen komplexe reaktive Anwendungen mit der Low-Code-Plattform…

3 Stunden ago

Cloudflare: DNS-basierte DDoS-Angriffe steigen im ersten Quartal um 80 Prozent

Das Jahr 2024 beginnt laut Cloudflare mit einem Paukenschlag. Die automatischen Systeme des Unternehmens wehren…

6 Stunden ago

Roblox: 34 Millionen Zugangsdaten im Darknet

Laut Kaspersky nehmen Infostealer gerade auch Spieleplattformen ins Visier. Neue Studie untersucht Angriffe zwischen 2021…

8 Stunden ago

EU-Datenschützer kritisieren Facebooks „Zustimmung oder Bezahlung“-Modell

Ohne eine kostenlose Alternative, die ohne Zustimmung zur Verarbeitung personenbezogener Daten zu Werbezwecken auskommt, ist…

3 Tagen ago

Europol meldet Zerschlagung der Phishing-as-a-Service-Plattform LabHost

LabHost gilt als einer der größten Phishing-Dienstleister weltweit. Die Ermittler verhaften 37 Verdächtige, darunter der…

3 Tagen ago