Software-Lieferketten unter Beschuss: So sichert ihr npm, APIs und Plugins ab

Angriffe auf Software-Lieferketten treffen euch längst nicht mehr nur über den eigenen Server. Kompromittierte npm-Pakete, unsichere WordPress-Erweiterungen und offene API-Schlüssel rücken Abhängigkeiten selbst ins Zentrum der Bedrohung.

Wir fassen aktuelle Fälle zusammen und zeigen euch konkrete Schritte, mit denen ihr Projekte jetzt pragmatisch absichern könnt.

npm-Angriff aus Nordkorea: Abhängigkeiten bewusst reduzieren

Microsoft hat einen großangelegten Lieferkettenangriff auf das npm-Ökosystem offengelegt. Dahinter steckt die nordkoreanische Gruppe Sapphire Sleet, auch bekannt als BlueNoroff, die gezielt auf Krypto-Wallets abzielt.

Die Angreifer:innen kompromittierten laut Bericht 140 npm-Pakete. Sie übernahmen dazu die Kontrolle über ein Maintainer-Konto und konnten so manipulierte Versionen veröffentlichen, die sich wie normale Updates in Projekte einfügen.

Für euch bedeutet das: Jede zusätzliche Abhängigkeit vergrößert die Angriffsfläche. Reduziert daher Bibliotheken auf das absolut Notwendige und entfernt ungenutzte Pakete konsequent. Prüft vor einem Update die Änderungsprotokolle und achtet auf ungewöhnliche Sprünge in der Versionsnummer oder neue Maintainer:innen.

Setzt, wo möglich, auf wiederverwendbare interne Module statt auf wenig gepflegte externe Pakete. Nutzt zudem Werkzeuge aus dem Open-Source-Bereich, die bekannte Schwachstellen in Abhängigkeiten aufspüren und euch kontinuierlich warnen.

WordPress-Plugins und APIs: Schlüssel schützen, Leaks aufspüren

Auch im WordPress-Ökosystem zeigt sich, wie schnell ein einzelnes Plugin zur Lieferketten-Schwachstelle werden kann. Sicherheitsforscher:innen berichten von massenhaften Angriffen auf eine Schwachstelle im Plugin Gravity SMTP.

Laut dem Sicherheitsanbieter Wordfence blockierte man mehr als 17 Millionen Versuche, den Fehler auszunutzen. Die Lücke ermöglicht es Angreifer:innen, mit nur einer nicht authentifizierten HTTP-Anfrage API-Schlüssel, OAuth-Token und detaillierte Systemkonfigurationen auszulesen. Betroffen sind potenziell bis zu 100.000 Websites.

Als Admins solltet ihr daher Plugin-Bestände regelmäßig überprüfen, ungenutzte Erweiterungen löschen und nur Erweiterungen mit aktiver Wartung einsetzen. Haltet Plugins konsequent aktuell und reagiert schnell auf Sicherheitshinweise der Anbieter.

Lege API-Schlüssel nie dauerhaft im Klartext in Plugin-Konfigurationen oder Code-Repositories ab. Nutzt stattdessen Umgebungsvariablen oder zentrale Geheimnisverwaltungsdienste. Wenn ihr ein kompromittiertes Plugin einsetzt oder eingesetzt habt, müsst ihr alle dort hinterlegten Schlüssel umgehend rotieren und Zugriffe in den verbundenen Diensten prüfen.

Gemini-API: Google erzwingt sicherere Authentifizierung

Google verschärft parallel die Sicherheit seiner KI-Plattform Gemini. Seit dem 19. Juni blockiert das Unternehmen ungeschützte Gemini-API-Schlüssel. Entwickler:innen müssen bis September auf ein neues Authentifizierungsmodell umsteigen.

Hintergrund ist, dass ungeschützte API-Keys leicht in Repositories, Logfiles oder Frontend-Code landen können. Werden diese Schlüssel ausgelesen, können Angreifer:innen auf Kosten der Projekte KI-Ressourcen nutzen oder vertrauliche Daten abziehen.

Für euch heißt das: Prüft alle Gemini-Integrationen in euren Anwendungen und stellt sie rechtzeitig auf das von Google geforderte Authentifizierungssystem um. Entfernt alte, ungeschützte Schlüssel und löscht sie aus Konfigurationsdateien, Umgebungsvariablen und CI/CD-Pipelines.

Ihr solltet außerdem eure komplette Infrastruktur nach versehentlich veröffentlichten API-Schlüsseln durchsuchen. Nutzt dafür Open-Source-Tools, die Repositories, Logdateien und Container-Images automatisiert auf typische Schlüssel- und Token-Muster scannen.

Plant die Rotation von Schlüsseln als regulären Prozess ein, statt nur auf Vorfälle zu reagieren. Bindet diesen Schritt in eure Deployment-Pipelines ein und dokumentiert, welche Dienste welche Berechtigungen benötigen, um Berechtigungen strikt nach Bedarf zu vergeben.

Via: www.ad-hoc-news.de · thenextweb.com · www.ad-hoc-news.de

Den Beitrag in unserem Forum kommentieren