Kein sonderlich gutes Zeugnis stellt die Web-Sicherheitsfirma Cenzic in ihrem Report »Web Application Security Trends« der Sicherheit von Web-Anwendungen aus. An die 90 Prozent von ihnen enthalten sicherheitsrelevante Schwachstellen.

Am stärksten vertreten sind Löcher, die Cross-Site-Scripting und SQL-Injection ermöglichen. Beide Techniken werden verstärkt von Cyber-Kriminellen eingesetzt, um fremde Web-Seiten zu kapern und für eigene Zwecke einzusetzen, etwa für Phishing-Angriffe. Die Sicherheitsfirma SANS Institute hat ermittelt, dass mittlerweile 60 Prozent aller Angriffe auf Web-Anwendungen abzielen.

Cenzic registrierte im ersten Halbjahr rund 3100 Schwachstellen in Browsern und Web-Applikationen, rund 10 Prozent mehr als in der zweiten Jahreshälfte 2008. An die 90 Prozent von ihnen waren in kommerziellen Anwendungen vorhanden, rund 8 Prozent in Browsern.

Firefox »löchriger« als andere Browser

Hier spielte überraschenderweise vor allem die Open-Source-Software Firefox eine unrühmliche Rolle: Sie wies 44 Prozent der Schwachstellen auf. Damit lag Firefox deutlich vor Apples Safari (35 Prozent) und dem Internet Explorer (15 Prozent). Der norwegische Browser Opera kam auf 6 Prozent.

In diesem Zahlen spiegelt sich allerdings auch der Verbreitungsgrad der Browser wider. Der IE und Firefox kommen zusammen genommen auf mehr als 90 Prozent Marktanteil. Das macht sie auch für Angreifer populärer als Opera.

Hinzu kommt, dass ein Gutteil der Schwachstellen auf Plug-ins von Drittanbietern entfällt. Wie berichtet, will die Mozilla-Stiftung diesem Problem ab Version 3.6 von Firefox beikommen, indem Zusatzprogramme automatisch auf Bugs hin untersucht werden.

Die Top-10-Sicherheitslöcher in Anwendungen finden sich unter anderem in Produkten namhafter Hersteller, etwa Citrix, F5 Networks, IBM, SAP, Sun und Symantec. Insgesamt wiesen 87 Prozent aller Web-Applikationen ernst zu nehmende Sicherheitsrisiken auf, so die Fachleute. Im zweiten Halbjahr 2008 waren es nur 78 Prozent.

Der Report mit Details zu den einzelnen Sicherheitslöchern kann von der Web-Seite von Cenzic heruntergeladen werden.