G 5.173 Einbindung von fremden Daten und Schadcode bei Webanwendungen und Web-Services

Werden die Ein- und Ausgabedaten einer Webanwendung oder eines Web-Service nicht ausreichend validiert, so kann ein Angreifer Inhalte, wie zum Beispiel Schadcode zur Manipulation von Server, Clients oder nachgelagerten Systemen, einbinden. Die eingebundenen Daten werden dem Benutzer im Sicherheitskontext der Webanwendung oder des Web-Service zurückgegeben. Demzufolge ist es dem Benutzer der Webanwendung beziehungsweise dem Consumer des Web-Service nicht oder nur eingeschränkt möglich, die manipulierten Anteile der Ausgabe zu erkennen. Der Angreifer kann so die Vertrauensstellung des authentisierten Benutzers gegenüber der Webanwendung oder dem Web-Service ausnutzen.

Bei Web-Services kann Schadcode auf den Web-Service selbst oder aber auf einen Consumer des Web-Service (Endanwendung oder nachgelagerter Web-Service) abzielen. Bei Webanwendungen können sowohl die Clients als auch die Server der Webanwendung durch eingebundenen Schadcode angegriffen werden. So können von einem Angreifer eingebettete Daten beispielsweise Schadcode zur Ausführung auf den Clients (zum Beispiel zum Auslesen von vertraulichen Daten) oder gefälschte Anmelde-Formulare zum Diebstahl von Zugangsdaten beinhalten. Wird der eingebundene Programmcode von der Webanwendung oder dem Web-Service ausgeführt, so kann darüber hinaus das Betriebssystem des Servers kompromittiert werden.

Beispiele: