Abhängigkeiten und Sicherheitslücken (CVE)

Kurz: Moderne Software besteht zu großen Teilen aus fremden Bibliotheken. Wird in einer davon eine Sicherheitslücke bekannt (mit einer CVE-Nummer), sind alle Programme betroffen, die sie nutzen.

Genauer: CVE (Common Vulnerabilities and Exposures) ist ein weltweites Verzeichnis bekannter Schwachstellen mit Kennung wie CVE-2021-44228 (Log4Shell). Der CVSS-Wert (0 bis 10) bewertet den Schweregrad.

Im Detail

• Prüfen: npm audit, Dependabot, Renovate und Scanner zeigen verwundbare Pakete.
• Aktualisieren: Regelmäßig und mit Tests. Sicherheits-Patches schnell einspielen.
• Lockfile: Hält die geprüften Versionen fest.
• Weniger Abhängigkeiten: Jede zusätzliche Bibliothek ist ein weiteres Risiko.
• Lieferkettenangriff: Angreifer schleusen Schadcode in beliebte Pakete ein (Typosquatting, gekaperte Konten).
• SBOM: Eine Stückliste aller Bestandteile einer Software. Der Cyber Resilience Act fordert so etwas für Produkte.

Siehe auch: OWASP Top 10, Semantic Versioning