Zusammenfassung Web-Security-Check ZIELSYSTEM für KUNDE (nachfolgend Auftraggeber genannt) von secudor GmbH Werner-von-Siemensstraße 6 Gebäude 9 86159 Augsburg (nachfolgend Auftragnehmer genannt)
Inhalt 1 Zusammenfassung... 3 1.1 Informationen... 3 1.2 Einordnung der Gefährdungsstufe... 3 1.3 Verteilung der Schwachstellen... 3 1.4 Performance und Antwortzeiten:... 3 1.5 Scanverlauf... 4 1.6 Empfehlungen... 4 1.7 Berichte... 4 2 Übersicht Schwachstellen... 5 Seite 2 von 5 secudor GmbH Moststraße 7 91799 Langenaltheim Geschäftsführer Joachim A. Hader Telefon +49 9145 839431 Mobil +49 151 53872750 info@secudor.de www.secudor.de Bank: Postbank IBAN: DE14700100800639075807 BIC: PBNKDEFF UstID: DE298369930 Registergericht: Amtsgericht Ansbach Registernummer: HRB5986
1 Zusammenfassung 1.1 Informationen Scan Information Startzeit 15.11.2015 21:00 Endezeit 16.11.2015 17:00 Scan Dauer Profile Default Server information Responsive Server banner Server OS Ja Apache/2.4.10 Unknown 1.2 Einordnung der Gefährdungsstufe Threat level Acunetix Threat Level 3 Eine oder mehrere als HOCH einzustufende Schwachstelle wurde durch den Scan entdeckt. Ein Angreifer kann diese Schwachstellen nutzen und das Backend (Datenbank) oder den Internetauftritt kompromittieren. 1.3 Verteilung der Schwachstellen High: Diese Schwachstellen sind sofort zu untersuchen. Ein versierter Angreifer könnte hier ohne große Aufwand Zugriff auf das Backend bekommen oder den Internetauftritt verändern. Aufwand (Zeit, Arbeit) für Angreifer gering. Medium: Diese Schwachstellen können von versierten Angreifern genutzt werden, um Informationen über die Webseite, das Backend und den Datenverkehr zu bekommen. Dies hilft dem Angreifer bei Planungen von Angriffen. Gefundene Schwachstellen 34 High 8 Medium 9 Low 12 Informational 5 1.4 Performance und Antwortzeiten: Die Schwachstellenanalyse wurde mit der Analyse-Software Acunetix Web Vulnerability Scanner 10.0 durchgeführt. Anzahl der Anzeige von gleichen Warnungen wurde auf 10 begrenzt (s. 1.5 Scanverlauf). Da es sich um wiederholende Warnungen handelt, sollten auch andere Bereiche des Shop hinsichtlich der Warnung geprüft werden. Der Scan führte zu hoher Auslastung (Prozessor) des Web-Servers, hatte aber keine erkennbaren Einschränkungen für das Web-Frontend. Dies sollte bei nachfolgenden Schwachstellenanalysen beachtet werden. Seite 3 von 5
1.5 Scanverlauf Nachfolgend der Bericht über den Verlauf des Web-Security-Scans: 1.6 Empfehlungen Auf Grund der Ergebnisse werden folgende Empfehlungen ausgesprochen. 1.7 Berichte Für die weitere Bearbeitung und Beseitigung der Schwachstellen können weitere Berichte zur Verfügung gestellt werden. Die in den Detail-Berichten aufgeführten Schwachstellen sollten von den Entwicklern bewertet werden. Die Bewertung hat den Zweck, festzustellen ob die Schwachstelle existiert und damit eine Gegenmaßnahme getroffen werden kann oder ob hier keine Schwachstelle vorliegt (false-positiv-bewertung). Dies ist für nachfolgende Scans von Vorteil und kann die Laufzeit reduzieren. Nachfolgende Scans können auf das Ergebnis referenzieren und Veränderungen darstellen. Seite 4 von 5
2 Übersicht Schwachstellen Nachfolgend sind die gefundenen Schwachstellen mit der Einstufung der Kritikalität (Serverity) aufgeführt. Schwachstellen (Gruppierung) Severity Anzahl CRLF injection/http response splitting High 5 Cross site scripting (verified) High 6 HTTP parameter pollution High 3 PHP allow_url_include enabled High 1 PHP register_globals enabled High 1 Security vulnerability in MySQL/MariaDB sql/password.c High 3 SQL injection High 9 Vulnerable Javascript library High 1 Application error message Medium 2 Basic authentication over HTTP Medium 1 HTML form without CSRF protection Medium 7 Insecure transition from HTTP to HTTPS in form post Medium 3 PHP allow_url_fopen enabled Medium 1 PHP open_basedir is not set Medium 1 PHP session.use_only_cookies disabled Medium 1 PHP session.use_trans_sid enabled Medium 1 PHPinfo page found Medium 2 Clickjacking: X-Frame-Options header missing Low 1 Cookie without HttpOnly flag set Low 3 Cookie without Secure flag set Low 3 Insecure transition from HTTPS to HTTP in form post Low 10 Login page password-guessing attack Low 1 Possible relative path overwrite Low 10 Possible sensitive directories Low 5 Possible sensitive files Low 8 Session Cookie scoped to parent domain Low 1 Session token in URL Low 10 Slow response time Low 8 TRACE method is enabled Low 1 Broken links Informational 10 Content type is not specified Informational 4 Email address found Informational 10 GHDB Informational 12 Password type input with auto-complete enabled Informational 4 Seite 5 von 5