OWASP Top 10 – Teil 6: Vulnerable and Outdated Components

Was bedeutet „Vulnerable and Outdated Components“?

Fast jede moderne Anwendung nutzt Bibliotheken, Frameworks und externe Komponenten.
Wenn diese Teile veraltet sind oder bekannte Sicherheitslücken enthalten, wird die gesamte Anwendung angreifbar – auch wenn der eigene Code fehlerfrei ist.

Beispiel:
Eine Web-App läuft mit einer alten Version von jQuery, die für XSS-Angriffe anfällig ist. Schon allein dadurch können Angreifer einsteigen.

Typische Beispiele aus der Praxis

• Veraltete Open-Source-Bibliotheken
  – z. B. eine Java-Anwendung mit einer alten Spring-Version (wie beim bekannten Spring4Shell-Exploit).
• Nicht gepatchte Server-Software
  – Apache, Nginx oder Tomcat laufen in Versionen mit bekannten Schwachstellen.
• Ungeprüfte Third-Party-Plugins
  – Ein CMS (z. B. WordPress) nutzt ein unsicheres Plugin.
• Fehlendes Inventar
  – Niemand weiß genau, welche Komponenten oder Abhängigkeiten im Einsatz sind.

Warum ist das so gefährlich?

• Angreifer müssen keine neuen Schwachstellen finden – sie nutzen einfach bekannte Lücken.
• Exploits sind oft öffentlich verfügbar und leicht einsetzbar.
• Schon eine unsichere Komponente kann den ganzen Server kompromittieren.

Wie schützt man sich?

1. Komponenten-Inventar führen
   – Alle eingesetzten Bibliotheken, Frameworks und Versionen dokumentieren.
2. Regelmäßige Updates einplanen
   – Patches zeitnah einspielen, am besten automatisiert.
3. Sicherheits-Scans nutzen
   – Tools wie OWASP Dependency-Check, Snyk oder GitHub Dependabot erkennen unsichere Abhängigkeiten.
4. Unnötige Abhängigkeiten entfernen
   – Weniger Code = kleinere Angriffsfläche.
5. Trusted Sources verwenden
   – Komponenten nur aus vertrauenswürdigen Repositories beziehen.