Was ist Backporting? Funktionsweise und Prozess

In den letzten Jahren hat die Zahl der gemeldeten Common Vulnerabilities and Exposures (CVEs) stetig zugenommen. Allein in der ersten Hälfte des Jahres 2024 wurden 22.254 CVEs gemeldet, das sind satte 30 % mehr als die 17.114 CVEs, die 2023 registriert wurden. Da diese Schwachstellen, wenn sie ausgenutzt werden, schädliche finanzielle und rufschädigende Folgen haben, bleibt Unternehmen nur eine Option: Schwachstellen umgehend zu beheben. Das ist jedoch leichter gesagt als getan. Bei älteren Systemen ist es manchmal einfach nicht praktikabel, anfällige Versionen auf neuere Versionen mit Sicherheitspatches zu aktualisieren. Hier kommt Backporting ins Spiel.

Stellen Sie sich vor, Sie besitzen seit Jahren ein antikes Auto. Plötzlich machen der Motor und die Räder Probleme. Die traurige Nachricht ist, dass es sich um ein sehr altes Modell handelt, sodass Sie keine Ersatzteile finden können. Sie möchten das Auto aber auch nicht durch ein neueres Modell ersetzen. Stattdessen beauftragen Sie Ihren Mechaniker, kompatible Teile aus einem neuen Modell zu besorgen und sie in Ihr Oldtimer-Modell einzubauen. Problem gelöst!

Backporting funktioniert ähnlich: Es bedeutet, Patches aus der neuesten Softwareversion nachzurüsten, um Probleme in älteren Systemen zu beheben. In diesem Artikel beschäftigen wir uns mit Backporting und beleuchten dessen Bedeutung, Anwendungsfälle, damit verbundene Schwachstellen und Best Practices.

Was ist Backporting?

Backporting ist die Praxis, Sicherheitsupdates oder neue Funktionen aus neueren Softwareversionen in ältere Versionen zu portieren.

Warum ist Backporting wichtig? Als zentraler Bestandteil des Schwachstellenmanagements wird Backporting zu einer Notwendigkeit, wenn die Aktualisierung anfälliger Softwareversionen problematisch ist.

Betrachten Sie dieses Beispiel aus der Praxis: Red Hat lieferte Red Hat Linux 8.0. mit Apache HTTP Server Version 2.0.40 aus. Kurz darauf wurden Sicherheitslücken in der alten Apache-Version entdeckt und eine neue Version – 2.0.43 – veröffentlicht.

Die neue Version behob zwar diese Fehler, enthielt jedoch auch Codeänderungen, die die Upstream-Software mit vielen Downstream-Implementierungen, die davon abhängig waren, inkompatibel machten. Anstatt also die neue Version vollständig zu übernehmen, portierte Red Hat den Patch zurück, indem es die relevanten Code-Schnipsel entnahm und sie so modifizierte, dass sie in die ältere Version passten.

Im Wesentlichen bedeutet Backporting, dass Sie selbst auf den Quellcode einer Softwareversion zugreifen und diesen nachrüsten oder dass Sie eine zurückportierte Upstream-Version von Ihrem Software-Distributor erhalten – wie im obigen Beispiel von Red Hat. Hier sind einige häufige Szenarien für Backporting:

Legacy-Systeme: Unternehmen, die auf Legacy-Software angewiesen sind, stehen vor einer besonderen Herausforderung: Bestehende Systeme sind oft nicht mit den neuesten Updates kompatibel. Backporting löst dieses Problem, indem es Leistungs- und Sicherheitsprobleme in Legacy-Systemen behebt, ohne dass eine vollständige Erneuerung oder Umgestaltung erforderlich ist.
Einhaltung gesetzlicher Vorschriften: Für Unternehmen, die mit geschützten Gesundheitsdaten (PHI), Zahlungskartendaten (PCI) und personenbezogenen Daten (PII) umgehen, hat der Schutz sensibler Daten gemäß regulatorischen Standards wie HIPAA, DSGVO und PCI DSS oberste Priorität. Backporting ermöglicht es diesen Unternehmen, Compliance-Anforderungen zu erfüllen, ohne sich mit den Schwierigkeiten der Software-Versionierung auseinandersetzen zu müssen.
Ressourcenbeschränkungen: Wo Upgrades erhebliche personelle, finanzielle und systemische Ressourcen gekostet hätten, die sich viele Unternehmen einfach nicht leisten können, bietet Backporting eine ressourceneffiziente Alternative.

Unterschiede zwischen Backporting, Patching und Upgrading

Backporting, Patching und Upgrading sind analoge Konzepte, die ähnliche Funktionen erfüllen, jedoch unterschiedliche Methoden verwenden. Hier finden Sie eine Übersicht über die Unterschiede.

Parameter	Backporting	Patching	Upgrading
Funktion	Rüstet ältere Softwareversionen mit wichtigen Patches aus neueren Versionen nach	Wendet Sicherheitskorrekturen auf aktuelle Softwareversionen an, um einzelne Sicherheitslücken zu schließen	Wechsel von einer älteren Softwareversion zu einer neuen Version mit verbesserten Funktionen und Sicherheitspatches
Ziel	Vor allem zur Behebung von Sicherheitsproblemen	Behebung von Sicherheits- und Leistungsproblemen	Umfassende Verbesserungen
Herausforderung	Erfordert umfangreiches technisches Fachwissen	Kann zu Instabilität führen oder neue Risiken mit sich bringen, wenn es nicht ordnungsgemäß getestet wird	Kann Kompatibilitätsprobleme mit nachgelagerter Software mit sich bringen

Wie funktioniert Backporting?

Der Backporting-Prozess umfasst eine Reihe von Schritten:

Schritt 1: Identifizieren Sie die Schwachstelle, für die Sie Sicherheitsupdates zurückportieren möchten. Dies kann durch Sicherheitsüberprüfungen durch interne Teams oder durch im Internet veröffentlichte Sicherheitshinweise erfolgen.

Schritt 2: Suchen Sie die neue Softwareversion, die das Problem behebt.

Schritt 3: Isolieren Sie die Korrektur von anderen Änderungen in der neuen Softwareversion, indem Sie die erforderlichen Codeausschnitte extrahieren.

Schritt 4: Passen Sie die isolierte Korrektur an das alte System an.

Schritt 5: Testen Sie in einer kontrollierten Umgebung, um sicherzustellen, dass die Schwachstelle tatsächlich behoben wird, ohne dass Leistungs- oder Sicherheitsprobleme oder andere unerwünschte Auswirkungen auftreten, wie z. B. die Änderung früherer Funktionen.

Schritt 6: Portieren Sie die Korrekturen auf das alte System, geben Sie sie in die Produktion und überwachen Sie sie kontinuierlich.

Mit Backporting verbundene Schwachstellen

Obwohl Backporting für Unternehmen, die bestimmte Software nicht aktualisieren können, eine wichtige Rettungsleine darstellt, ist es nicht ohne Risiken. Ein großes Risiko des Backportings besteht darin, dass ältere Systeme neuere Sicherheitsframeworks möglicherweise nicht nativ unterstützen. Daher kann es vorkommen, dass durch das Backporting von Korrekturen neue Backporting-Schwachstellen entstehen, während Sie versuchen, andere Schwachstellen zu beheben.

Was sind Backporting-Schwachstellen?

Backporting-Schwachstellen sind Risiken, die sich aus der Anpassung von Sicherheitspatches für moderne Systeme an ältere Versionen ergeben und zu unerwarteten Nebenwirkungen führen können.

Arten von Backporting-Schwachstellen

Wenn es große Unterschiede in der Architektur oder den Abhängigkeiten zwischen der neuen und der alten Softwareversion gibt, kann Backporting die folgenden Arten von Schwachstellen verursachen:

1. Sicherheitslücken

Sicherheitskorrekturen in neueren Softwareversionen basieren häufig auf Sicherheitsparadigmen, die in älteren Versionen nicht zu finden sind. Wenn Sie diese Korrekturen zurückportieren, müssen Sie darauf achten, dass Sie keine neuen Backporting-Sicherheitslücken einführen oder alte Sicherheitslücken nicht ordnungsgemäß beheben.

Beispielsweise hat Microsoft kürzlich ein Update für eine Sicherheitslücke in .NET (CVE-2024-38229) veröffentlicht, die die Ausführung von Remote-Code (RCE) ermöglicht. Dieses Update ist zwar in .NET 8.0- und 9.0-Systemen wirksam, hat jedoch möglicherweise nicht die gewünschte Wirkung, wenn es auf .NET 6.0 zurückportiert wird. Der Grund dafür ist, dass der HTTP/3-Stream, der im Mittelpunkt der Sicherheitslücke steht, in Version 6.0 nur experimentell ist.

2. Kompatibilitätsprobleme

Bei der Rückportierung müssen zahlreiche Komponenten berücksichtigt werden, darunter Abhängigkeiten, APIs, Frameworks und Bibliotheken, Betriebssysteme, geforkte Anwendungen und vieles mehr. Angesichts dieser langen Liste wird es zu einer Herausforderung, sicherzustellen, dass zurückportierte Patches vollständig mit allen Komponenten integriert werden können. Wenn die Architektur von Altsystemen einfach nicht mit neueren Systemen kompatibel ist, können umfangreiche Änderungen am Patch erforderlich sein.

Beispielsweise verwenden neuere Softwareversionen moderne Software Development Kits (SDKs) wie Kubernetes SDKs, die in Legacy-Software möglicherweise nicht vorhanden sind. Das Backporting von Patches würde in solchen Fällen erfordern, dass Entwickler die Code-Schnipsel (die den Patch enthalten) neu schreiben oder komplizierte Workarounds installieren – die ebenfalls kompatibel sein müssen.

3. Leistungseinbußen

Neuere Softwareversionen sind oft auf Geschwindigkeit und Sicherheit ausgelegt, wodurch sie möglicherweise mehr Ressourcen benötigen. Das Backporting von Patches, die auf diese Weise entwickelt wurden, auf ältere, langsamere Systeme kann die Verarbeitungskapazität der Systeme überlasten, was zu längeren Reaktionszeiten, Fehlern oder im schlimmsten Fall zu Systemabstürzen führen kann.

Risiken im Zusammenhang mit dem Backporting von Schwachstellen

Sicherheitsrisiken: Unsachgemäß zurückportierte Patches können Schwachstellen ungelöst lassen oder neue Schwachstellen verursachen.
Betriebsrisiken: Die Zuweisung von Ressourcen für das Backporting kann zu potenziellen Ausfallzeiten oder Dienstunterbrechungen führen.
Compliance-Risiken: Unzureichendes Backporting kann zur Nichteinhaltung von Sicherheitsstandards führen.

So testen und validieren Sie zurückportierte Änderungen

Das Testen und Validieren zurückportierter Patches vor ihrer Auslieferung ist für einen sicheren und effektiven Backporting-Prozess von entscheidender Bedeutung. Dazu gehören:

Verwendung von Lösungen für das Schwachstellenmanagement zur Erkennung von Schwachstellen, die durch den Backporting-Prozess nicht vollständig behoben wurden.
Verwenden Sie Schwachstellenscanner, um sicherzustellen, dass der Backporting-Prozess keine neuen Schwachstellen eingeführt hat.

Verwenden Sie Regressionstest-Tools, um zu überprüfen, ob die Patches ordnungsgemäß integriert sind, ohne die bestehenden Funktionen zu beeinträchtigen.

Einsatz von Penetrationstestern, um zurückportierte Patches weiter auf potenzielle Sicherheitslücken zu testen.

Herausforderungen beim Backporting

Obwohl Backporting eine effektive Methode zur Behebung von Schwachstellen in Legacy-Systemen ist, die nicht einfach ersetzt werden können, können Unternehmen mit folgenden Herausforderungen konfrontiert sein:

#1. Komplexität

Bei Kompatibilitätsproblemen erfordert das Backporting umfangreiche Code-Neuschreibungen, was in der Regel ein zeitaufwändiger Prozess ist. Außerdem müssten Unternehmen hochspezialisierte Ingenieure und Tools einsetzen.

#2. Ungelöste Risiken

Selbst wenn Backporting kompatibel ist, kann es sein, dass das Problem dadurch nicht vollständig gelöst wird. Dies kann der Fall sein, wenn die Schwachstelle in der Architektur selbst liegt. In einem solchen Fall kann Backporting Unternehmen eine falsche Sicherheit vermitteln, bis die Schwachstelle ausgenutzt wird.

#3. Verwirrung bei der CVE-Nummerierung

Viele Sicherheitslösungen erkennen Schwachstellen ausschließlich durch den Abgleich mit CVE-Identifikationsnummern in Schwachstellendatenbanken. Daher kommt es häufig vor, dass solche Tools Softwareversionen auch nach vollständiger Behebung der Schwachstelle durch Backporting weiterhin als anfällig kennzeichnen, was zu Fehlalarmen führt.

#4. Mangelhafte Dokumentation

Unternehmen sind bei Software-Patches für Betriebssysteme, Frameworks, Bibliotheken und mehr auf Dienstleister angewiesen. In Fällen, in denen Upgrades nicht möglich sind, führen diese Anbieter Backports durch. Wenn dies nicht für jede veröffentlichte Sicherheitskorrektur klar dokumentiert ist, können Benutzer versehentlich annehmen, dass ein Upgrade statt eines Backports durchgeführt wurde.

Das Gleiche gilt für unzureichend dokumentierte interne Backporting-Prozesse. Eine mangelhafte Dokumentation führt dazu, dass Benutzer verwirrt sind, warum sie nach einem "Update" immer noch eine ältere Version haben. Es kann auch zu Sicherheitslücken kommen, wenn Benutzer die zurückportierten Änderungen nicht ordnungsgemäß anwenden.

Bewährte Verfahren zur Minderung von Backporting-Schwachstellen

Hier sind die 7 wichtigsten Best Practices für Backporting, die Sie für einen sicherheitslückenfreien Backporting-Prozess implementieren sollten.

Bewerten Sie den Backporting-Bedarf: Bevor Sie sich für ein Backporting entscheiden, vergewissern Sie sich, dass dies der effektivste Ansatz zur Behebung der Sicherheitslücke ist. Wägen Sie dies gegen eine gründliche Prüfung ab, wie stark sich die Leistung verschlechtert und wie komplex der Betrieb wird, wenn Sie sich für ein Backporting oder ein Upgrade entscheiden.
Befolgen Sie strenge Testprotokolle: Testen Sie zurückportierte Korrekturen für Sicherheitslücken und Leistungsprobleme vor der Auslieferung gründlich. Robuste Tests – in kontrollierten Umgebungen – stellen sicher, dass bestehende Sicherheitslücken behoben werden und durch den Backporting-Prozess keine neuen entstehen.
Führen Sie gründliche Risikobewertungen durch: Stellen Sie sicher, dass die potenziellen Risiken oder Herausforderungen des Backports durch die Vorteile für Ihr Unternehmen in Bezug auf Sicherheit, Betrieb und Compliance bei weitem aufgewogen werden.
Führen Sie eine umfassende Dokumentation: Dies ist entscheidend, um zurückportierte Änderungen im Laufe der Zeit zu verfolgen und detaillierte Compliance-Audit-Trails zu erstellen. Es ist auch für zukünftige Debugging- und Ursachenanalysen von entscheidender Bedeutung.
Verwenden Sie Versionskontrollsysteme (VCS): VCS wie Git und Azure DevOps sind hervorragende Tools, um zurückportierte Änderungen zu verfolgen und die Code-Integrität zu gewährleisten. Sie bieten Versionshistorien, die nützlich sind, wenn es zu Instabilitätsproblemen mit zurückportierten Versionen kommt und eine Rückkehr zu einer früheren stabilen Version erforderlich ist.
Richten Sie Änderungsmanagementprozesse ein: Dazu gehören die gründliche Prüfung und Überprüfung von zurückportierten Patches vor ihrer Auslieferung, die Anwendung zurückportierter Änderungen ohne Beeinträchtigung der App-Funktionen und die kontinuierliche Überwachung des IT-Stacks auf Leistungsabfälle oder andere potenzielle Probleme nach der Implementierung des Backports.
Verwenden Sie die richtigen Tools: Die richtigen Tools für das Schwachstellenmanagement und Sicherheitstests können einen großen Unterschied darin machen, wie reibungslos Ihr Backporting-Prozess verläuft.

Häufige Anwendungsfälle für Backporting

Der häufigste Anwendungsfall für Backporting ist Legacy-Software, bei der vollständige Upgrades nicht möglich sind. Dies ist besonders häufig in der Gesundheitsbranche, im Finanzwesen und in anderen Branchen der Fall, in denen Legacy-Systeme für den täglichen Betrieb unerlässlich sind und jeder Versuch, sie zu aktualisieren, zu massiven Dienstunterbrechungen führen würde. Weitere Anwendungsfälle für Backporting sind:

Sicherung geschäftskritischer Produktionssysteme, bei denen eine hohe Verfügbarkeit unerlässlich ist, z. B. die Mainframes, die häufig von Banken für die Verarbeitung großer Datenmengen und schnelle Datenverarbeitung eingesetzt werden

Sicherung von Long-Term-Support-Versionen (LTS) von Open-Source-Projekten, z. B. dem Linux-Kernel LTS, der häufig von Cloud-Dienstleistern verwendet wird, um Stabilität zu gewährleisten und die Versionskompatibilität in hybriden Umgebungen zu erleichtern.

Erfüllung von Compliance-Anforderungen in stark regulierten Branchen wie dem Finanzwesen und dem Gesundheitswesen. Durch das Backporting von Patches können Krankenhäuser beispielsweise Datenschutzgesetze wie HIPAA einhalten, ohne dass es zu erheblichen Serviceunterbrechungen im Zusammenhang mit Upgrades kommt.

Entfesseln Sie AI-gestützte Cybersicherheit

Verbessern Sie Ihre Sicherheitslage durch Echtzeit-Erkennung, maschinelle Reaktion und vollständige Transparenz Ihrer gesamten digitalen Umgebung.

Demo anfordern

Fazit

Backporting kann viele Probleme beheben, aber auch neue Herausforderungen mit sich bringen. Mit einer KI-basierten Lösung zur Überwachung von Bedrohungen sind Sie auf der sicheren Seite, um bestehende oder potenzielle Schwachstellen zu beheben. Sie können Sicherheitspatches von neueren Versionen auf ältere Versionen zurückportieren, um Schwachstellen zu beheben, ohne störende Upgrades zu verursachen.

Ein erfolgreiches Backporting erfordert umfangreiche Tests, eine vollständige Dokumentation, eine korrekte Risikoanalyse und spezielle Sicherheitstools, die den Prozess unterstützen.

FAQs

Beim Backporting werden Sicherheitspatches aus aktuellen Softwareversionen isoliert und auf ältere Versionen angewendet, um kritische Sicherheitslücken zu schließen. Beim Upgrade hingegen werden neue Softwareversionen mit Sicherheitspatches, Fehlerbehebungen, neuen Funktionen und anderen Verbesserungen bereitgestellt.

Unternehmen sollten Backporting gegenüber Upgrades bevorzugen, wenn Systeme hohe Anforderungen an die Verfügbarkeit stellen, Upgrades zu schwerwiegenden Inkompatibilitätsproblemen führen können oder Upgrades einfach zu zeit- und ressourcenintensiv sind, um durchführbar zu sein.

Zu den häufigsten Herausforderungen beim Backporting gehören die Komplexität, wenn umfangreiche Änderungen erforderlich sind, schlecht dokumentierte Backporting-Änderungen und unsachgemäß behobene Schwachstellen.

Entwicklungsteams spielen eine wichtige Rolle beim Backporting von Schwachstellen. Zunächst müssen sie – in Zusammenarbeit mit Sicherheitsteams – kritische Schwachstellen in älteren Softwareversionen identifizieren. Anschließend müssen Entwickler Code-Korrekturen in neuen Versionen isolieren und an die älteren Systeme anpassen.