Angriffe auf Software-Lieferketten treffen euch längst nicht mehr nur über den eigenen Server. Kompromittierte npm-Pakete, unsichere WordPress-Erweiterungen und offene API-Schlüssel rücken Abhängigkeiten selbst ins Zentrum der Bedrohung.
Wir fassen aktuelle Fälle zusammen und zeigen euch konkrete Schritte, mit denen ihr Projekte jetzt pragmatisch absichern könnt.
npm-Angriff aus Nordkorea: Abhängigkeiten bewusst reduzieren
Microsoft hat einen großangelegten Lieferkettenangriff auf das npm-Ökosystem offengelegt. Dahinter steckt die nordkoreanische Gruppe Sapphire Sleet, auch bekannt als BlueNoroff, die gezielt auf Krypto-Wallets abzielt.
Die Angreifer:innen kompromittierten laut Bericht 140 npm-Pakete. Sie übernahmen dazu die Kontrolle über ein Maintainer-Konto und konnten so manipulierte Versionen veröffentlichen, die sich wie normale Updates in Projekte einfügen.
Für euch bedeutet das: Jede zusätzliche Abhängigkeit vergrößert die Angriffsfläche. Reduziert daher Bibliotheken auf das absolut Notwendige und entfernt ungenutzte Pakete konsequent. Prüft vor einem Update die Änderungsprotokolle und achtet auf ungewöhnliche Sprünge in der Versionsnummer oder neue Maintainer:innen.
Setzt, wo möglich, auf wiederverwendbare interne Module statt auf wenig gepflegte externe Pakete. Nutzt zudem Werkzeuge aus dem Open-Source-Bereich, die bekannte Schwachstellen in Abhängigkeiten aufspüren und euch kontinuierlich warnen.
WordPress-Plugins und APIs: Schlüssel schützen, Leaks aufspüren
Auch im WordPress-Ökosystem zeigt sich, wie schnell ein einzelnes Plugin zur Lieferketten-Schwachstelle werden kann. Sicherheitsforscher:innen berichten von massenhaften Angriffen auf eine Schwachstelle im Plugin Gravity SMTP.
Laut dem Sicherheitsanbieter Wordfence blockierte man mehr als 17 Millionen Versuche, den Fehler auszunutzen. Die Lücke ermöglicht es Angreifer:innen, mit nur einer nicht authentifizierten HTTP-Anfrage API-Schlüssel, OAuth-Token und detaillierte Systemkonfigurationen auszulesen. Betroffen sind potenziell bis zu 100.000 Websites.
Als Admins solltet ihr daher Plugin-Bestände regelmäßig überprüfen, ungenutzte Erweiterungen löschen und nur Erweiterungen mit aktiver Wartung einsetzen. Haltet Plugins konsequent aktuell und reagiert schnell auf Sicherheitshinweise der Anbieter.
Lege API-Schlüssel nie dauerhaft im Klartext in Plugin-Konfigurationen oder Code-Repositories ab. Nutzt stattdessen Umgebungsvariablen oder zentrale Geheimnisverwaltungsdienste. Wenn ihr ein kompromittiertes Plugin einsetzt oder eingesetzt habt, müsst ihr alle dort hinterlegten Schlüssel umgehend rotieren und Zugriffe in den verbundenen Diensten prüfen.
Gemini-API: Google erzwingt sicherere Authentifizierung
Google verschärft parallel die Sicherheit seiner KI-Plattform Gemini. Seit dem 19. Juni blockiert das Unternehmen ungeschützte Gemini-API-Schlüssel. Entwickler:innen müssen bis September auf ein neues Authentifizierungsmodell umsteigen.
Hintergrund ist, dass ungeschützte API-Keys leicht in Repositories, Logfiles oder Frontend-Code landen können. Werden diese Schlüssel ausgelesen, können Angreifer:innen auf Kosten der Projekte KI-Ressourcen nutzen oder vertrauliche Daten abziehen.
Für euch heißt das: Prüft alle Gemini-Integrationen in euren Anwendungen und stellt sie rechtzeitig auf das von Google geforderte Authentifizierungssystem um. Entfernt alte, ungeschützte Schlüssel und löscht sie aus Konfigurationsdateien, Umgebungsvariablen und CI/CD-Pipelines.
Ihr solltet außerdem eure komplette Infrastruktur nach versehentlich veröffentlichten API-Schlüsseln durchsuchen. Nutzt dafür Open-Source-Tools, die Repositories, Logdateien und Container-Images automatisiert auf typische Schlüssel- und Token-Muster scannen.
Plant die Rotation von Schlüsseln als regulären Prozess ein, statt nur auf Vorfälle zu reagieren. Bindet diesen Schritt in eure Deployment-Pipelines ein und dokumentiert, welche Dienste welche Berechtigungen benötigen, um Berechtigungen strikt nach Bedarf zu vergeben.
Via: www.ad-hoc-news.de · thenextweb.com · www.ad-hoc-news.de
Über unser neues Apfeltalk Apple Preisradar findest du für alle Apple Produkte immer die aktuellen Preise und unsere Bewertung, ob es sich aktuell um Bestpreise handelt.
Mit dem Kauf über unsere Links unterstützt Du Apfeltalk mit einem kleinen Teil des unveränderten Kaufpreises. Um mehr über die Refinanzierung von Apfeltalk zu erfahren, klicke bitte hier.
