Sicherheitslücke in Lieferkette: Forscher erhalten 50.500 US-Dollar Bug Bounty

MÜNCHEN (IT BOLTWISE) – Zwei Sicherheitsforscher haben eine kritische Schwachstelle in der Software-Lieferkette eines kürzlich übernommenen Unternehmens entdeckt und dafür eine Bug Bounty in Höhe von 50.500 US-Dollar erhalten. Diese Entdeckung wirft ein Schlaglicht auf die Sicherheitsrisiken, die mit Unternehmensübernahmen einhergehen.

Die Entdeckung von Sicherheitslücken in der Software-Lieferkette eines kürzlich übernommenen Unternehmens hat zwei Forschern eine beachtliche Bug Bounty eingebracht. Lupin (Roni Carta) und Snorlhax, die bereits in der Vergangenheit erfolgreich zusammengearbeitet haben, richteten ihren Fokus auf die oft vernachlässigten Sicherheitslücken bei Unternehmensübernahmen. Sie stellten fest, dass neu erworbene Unternehmen nicht immer die gleichen hohen Sicherheitsstandards wie ihre Muttergesellschaften einhalten, was zu erheblichen Risiken führen kann.

Die Forscher begannen ihre Untersuchung mit einer detaillierten Analyse der Online-Präsenz des übernommenen Unternehmens, einschließlich seiner Code-Repositories und Paketregister. Dabei setzten sie fortschrittliche Techniken ein, um JavaScript-Dateien in abstrakte Syntaxbäume (ASTs) zu transformieren und Docker-Images zu analysieren, um Abhängigkeiten und mögliche Schwachstellen aufzudecken. Diese Untersuchung führte sie zu einer DockerHub-Organisation, die mit der Übernahme in Verbindung stand.

Der entscheidende Durchbruch gelang, als die Forscher ein Docker-Image herunterluden und analysierten. Darin entdeckten sie den vollständigen Quellcode der Backend-Systeme des Unternehmens. Doch damit nicht genug: Sie fanden auch sensible Informationen, die für potenzielle Angreifer von großem Interesse sein könnten.

In einem technischen Blogbeitrag von Lupin wird beschrieben, wie die Forscher ein “.git”-Verzeichnis im Image fanden, das ein Autorisierungstoken für GitHub Actions (GHS) enthielt. Dieses Token hätte einem Angreifer die Möglichkeit gegeben, die Build-Pipelines des Unternehmens zu manipulieren, bösartigen Code einzuschleusen oder sogar Zugriff auf weitere Repositories zu erlangen.

Zusätzliche Untersuchungen ergaben, dass das Docker-Image zwar die .npmrc-Konfigurationsdatei entfernt hatte, die Forscher jedoch erkannten, dass frühere Schichten des Images noch Spuren davon enthalten könnten. Mit Werkzeugen wie Dive und Dlayer erkundeten sie diese Schichten und fanden schließlich ein privates npm-Token. Dieses Token ermöglichte Lese- und Schreibzugriff auf die privaten Pakete des Zielunternehmens.

Die Forscher erkannten, dass sie nun in der Lage waren, bösartigen Code in eines der privaten Pakete einzuschleusen, die von den Entwicklern, Pipelines und Produktionssystemen des Unternehmens automatisch abgerufen würden. Da es sich um private Pakete handelte, würde der Angriff Sicherheitsüberprüfungen umgehen und es ermöglichen, Systeme auf allen Ebenen zu kompromittieren, was zu groß angelegtem Datendiebstahl und Datenverletzungen führen könnte.

Software-Lieferketten-Schwachstellen haben in den letzten Monaten Tausende von Unternehmen betroffen. Cyberangriffe auf Unternehmen wie Snowflake Inc., Blue Yonder und MOVEit Transfer werden weiterhin ausgenutzt und beeinträchtigen Organisationen weltweit.

Die gute Nachricht ist, dass das Forscherduo ihre Erkenntnisse dokumentierte und die Auswirkungen der Schwachstelle dem Sicherheitsteam des betroffenen Unternehmens demonstrierte. Ihr Bericht beschrieb, wie Angreifer ein manipuliertes npm-Paket verwenden könnten, um Geheimnisse zu erbeuten, in interne Systeme einzudringen und CI/CD-Pipelines zu kompromittieren. Infolgedessen verlieh das Unternehmen den Forschern eine Bug Bounty in Höhe von 50.500 US-Dollar, um die Schwere der Schwachstelle anzuerkennen.

Dieser Vorfall zeigt, wie Angriffe erfolgreich sein können, wenn mehrere vernachlässigte Schwachstellen zusammenkommen. In diesem Fall stammte das Problem aus Lücken in der Software-Lieferkette und Sicherheitsmängeln in einem neu erworbenen Unternehmen. Das Team betonte die Bedeutung der Sicherung jedes Teils des Entwicklungsprozesses, von dem Code selbst bis hin zu den beteiligten Komponenten und externen Paketen. Es ist ein Beispiel dafür, dass der Schutz einer Software-Entwicklungspipeline nicht einfach ist und sorgfältige Aufmerksamkeit für jedes Detail erfordert.

Zu den Top-Stories!

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!

Angebot

1.952 Bewertungen

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

• NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.

169,00 EUR

Bei Amazon kaufen