Umfang der Schwachstellenmeldungen
Zu den Schwachstellen, die unter diese Richtlinie zur verantwortungsvollen Offenlegung fallen, gehören (unter anderem):
- Injection-Schwachstellen
- Fehler bei der Authentifizierung und der Sitzungsverwaltung
- Cross-Site-Scripting (XSS)
- Remote-Codeausführung
- Unsichere direkte Objektreferenz
- Offenlegung sensibler Daten
- Fehlerhafte Sicherheitskonfiguration
- Fehlende Zugriffskontrolle auf Funktionsebene
- Verwendung von Komponenten mit bekannten Sicherheitslücken
- Nicht validierte Weiterleitungen und Umleitungen
- Verzeichnis-/Pfadübergreifend
- Offengelegte Anmeldedaten
Zu den Schwachstellen, die nicht unter diese Richtlinie zur verantwortungsvollen Offenlegung fallen, gehören (unter anderem):
- Probleme, die eine unwahrscheinliche Benutzerinteraktion erfordern
- Aufzählung von Konten mittels Brute-Force-Angriffen
- Cross-Site Request Forgery
- Unzureichende Richtlinien für Passwörter und Anforderungen an die Passwortkomplexität
- Fehlende HTTP-Sicherheits-Header, die keine Sicherheitslücke zur Folge haben
- Clickjacking auf statischen Websites
- Berichte aus automatisierten Tools oder Scans
- Sicherheitslücken, von denen Nutzer veralteter Browser betroffen sind
- Vorhandensein des Attributs „autocomplete“ in Webformularen
- Fehlende Cookie-Kennzeichnungen bei nicht sensiblen Cookies
- Berichte über SSL-Probleme, bewährte Verfahren oder unsichere Verschlüsselungsalgorithmen
- Unvollständige oder fehlende SPF-/DMARC-/DKIM-Einträge
- Angriffe durch Selbstausnutzung
- Social-Engineering-Angriffe
- Testversionen von Anwendungen
- Probleme bei der E-Mail-Konfiguration, einschließlich SPF-, DKIM- und DMARC-Einstellungen
- Clickjacking auf Seiten ohne sensible Aktionen
- Cross-Site Request Forgery (CSRF) bei nicht authentifizierten Formularen oder Formularen ohne sensible Aktionen
- Angriffe, die einen Man-in-the-Middle-Angriff oder physischen Zugriff auf das Gerät eines Benutzers erfordern.
- Bisher bekannte anfällige Bibliotheken ohne funktionierenden Proof-of-Concept.
- CSV-Injection (Comma Separated Values), ohne eine Sicherheitslücke nachzuweisen.
- Es fehlen bewährte Verfahren bei der SSL/TLS-Konfiguration.
- Jede Aktivität, die zu einer Störung unseres Dienstes führen könnte (DoS).
- Probleme mit Content-Spoofing und Text-Injection, ohne dass ein Angriffsvektor sichtbar ist bzw. ohne dass HTML/CSS geändert werden kann
- Ratenbegrenzung oder Brute-Force-Probleme bei Endpunkten ohne Authentifizierung
- Es fehlen bewährte Verfahren in der Content Security Policy.
- Fehlende „HttpOnly“- oder „Secure“-Flags bei Cookies
- Fehlende Best Practices für E-Mails (ungültige, unvollständige oder fehlende SPF-/DKIM-/DMARC-Einträge usw.)
- Sicherheitslücken, die nur Nutzer veralteter oder nicht gepatchter Browser betreffen [weniger als zwei stabile Versionen hinter der zuletzt veröffentlichten stabilen Version]
- Angabe der Softwareversion / Probleme bei der Banner-Identifizierung / Aussagekräftige Fehlermeldungen oder Kopfzeilen (z. B. Stack-Traces, Anwendungs- oder Serverfehler).
- Tabnabbing
- Offene Weiterleitung – sofern keine zusätzlichen Sicherheitsrisiken nachgewiesen werden können