Du hast deinen AdBlocker an?

Es wäre ein Traum, wenn du ihn für t3n.de deaktivierst. Wir zeigen dir gerne, wie das geht. Und natürlich erklären wir dir auch, warum uns das so wichtig ist. Digitales High-five, deine t3n-Redaktion

News

Studie: Zero-Day-Lücken bleiben durchschnittlich sieben Jahre ungepatcht

    Studie: Zero-Day-Lücken bleiben durchschnittlich sieben Jahre ungepatcht

(Bild: Dmitry Tishchenko/Shutterstock)

Ein seltener Datenschatz mit Informationen über „lebende“ Zero-Day-Lücken ist US-Forschern in die Hände gefallen. Eine der Erkenntnisse: Die Sicherheitslücken bleiben über Jahre unentdeckt.

Lange Lebensdauer von Zero-Day-Lücken

Forscher des US-amerikanischen Think-Tanks Rand Corporation haben nach eigenen Angaben Daten zu mehr als 200 echten Zero-Day-Exploits ausgewertet, also Sicherheitslücken, von denen der Hersteller nichts weiß. Details zu dem seltenen Datenschatz haben die Forscher in der StudieThe Life and Times of Zero-Day-Vulnerabilities and Their Exploits“ zusammengestellt. Überraschende Erkenntnis: Im Schnitt vergehen rund sieben Jahre zwischen Entdeckung der Lücke und Umsetzung des Exploits und dem Schließen.

Zahl der von Busby gefundenen Zero-Day-Lücken. (Grafik: Rand)

Allerdings ist der häufigste Grund für das „Ableben“ einer Zero-Day-Lücke der Analyse zufolge nicht ein Sicherheitsupdate, sondern ein Umbau im Code, etwa durch das Ausspielen einer neuen Softwareversion. Ebenfalls unbrauchbar wird eine Zero-Day-Lücke, wenn ein anderer Cyberkriminelle diese ebenfalls entdeckt hat und ausnutzt. Die Daten stammen von einer Quelle, die die Rand-Analysten als Busby bezeichnen. Dabei soll es sich um einen Cyberwaffen-Händler handeln, dessen Produkte auch bei staatlichen Organisationen im Einsatz seien, wie Heise Online berichtet. Die lange Lebensdauer erkläre, warum die Lücken so wertvoll sind und offenbar von Geheimdiensten und Cyberkriminellen gehortet würden.

15 Prozent der Zero-Day-Lücken doppelt entdeckt

Eine weitere aktuelle Studie von Trey Herr und Bruce Schneier vom Belfer Center Cyber-Security-Project der Harvard Kennedy School („Taking Stock: Estimating Vulnerability Rediscovery“) hat öffentlich zugängliche Informationen zu Sicherheitslücken ausgewertet. Die Untersuchung widmet sich der so genannten Rediscovery-Quote, also der Zahl der Lücken, die mindestens zwei Mal entdeckt wurden. Diese Quote beträgt den Forschern zufolge 15 Prozent.

Mehr zum Thema:

via www.heise.de

Du musst angemeldet sein, um einen Kommentar schreiben zu können.

Jetzt anmelden
Alle Jobs
Zur Startseite
Zur Startseite