Schwachstellen in der Open-Source-Sicherheit

Open Source ist die Basis vieler digitaler Systeme – vom kleinen Tool bis zur weltweiten Cloud-Infrastruktur. Doch der jüngste Shai-Hulud-Angriff zeigt, wie verletzlich die Software-Lieferkette tatsächlich ist.

Das JFrog Security Research Team entdeckte 164 kompromittierte npm-Pakete in 338 Versionen , die gezielt darauf ausgelegt waren, sensible Zugangsdaten von Entwickler-Rechnern und CI/CD-Umgebungen zu stehlen. Betroffen waren unter anderem Tokens für AWS, GCP, GitHub und npm, die heimlich in von Angreifern kontrollierte GitHub-Repositories weitergeleitet wurden.

Wie der Angriff begann

Der Angriff startete mit einer manipulierten Version von @ctrl/tinycolor und breitete sich schnell auf andere beliebte Bibliotheken aus – darunter angulartics2, koa2-swagger-ui und react-jsonschema-form-conditionals. Die Angreifer entwickelten ihre Methoden stetig weiter:

• Sie setzten Tools wie TruffleHog ein, um geheime Schlüssel aufzuspüren.
• Sie testeten verschiedene Wege, Daten unbemerkt aus den Systemen herauszuschleusen. Das Tempo und die Reichweite machten deutlich, wie schnell sich ein solcher Angriff durch ganze Ökosysteme verbreiten kann – oft innerhalb weniger Tage.

„Beliebtheit ist kein Sicherheitsmerkmal“

Shachar Menashe, VP Security Research bei JFrog, warnt vor falscher Sicherheit:

„Angreifer suchen gezielt Maintainer populärer, aber oft unterbesetzter Open-Source-Projekte. Wir haben das bereits beim xz-Backdoor-Angriff Anfang 2024 gesehen. Dort konnten Angreifer die Schwächen eines kleinen, überlasteten Teams ausnutzen. Das größte Risiko ist die Geschwindigkeit: Sobald ein vertrautes Paket kompromittiert ist, verbreitet es sich rasch über CI/CD-Pipelines und landet in unzähligen Projekten. Die einzige Lösung ist ein Zero-Trust-Ansatz: Kein Paket darf allein wegen seiner Popularität uneingeschränktes Vertrauen genießen.“

Empfohlene Gegenmaßnahmen

Um ähnliche Angriffe einzudämmen, rät JFrog zu klaren Sicherheitsmaßnahmen:

• Zwei-Faktor-Authentifizierung verpflichtend machen – npm und PyPI haben dies bereits umgesetzt, andere Repositorien wie Maven oder NuGet hinken noch hinterher.
• Pakete vor Einsatz kuratieren – klare Regeln festlegen und sowohl direkte als auch transitive Abhängigkeiten prüfen.
• Zeitverzögertes Updaten – mindestens 14 Tage warten, bevor neue Paketversionen produktiv eingesetzt werden. In dieser Zeit werden kompromittierte Versionen meist entdeckt und entfernt.
• Zero-Trust-Strategie umsetzen – Vertrauen darf nicht aus Bekanntheit oder Reichweite entstehen, sondern aus überprüfbaren Sicherheitskontrollen.

Die größere Lektion

Der Shai-Hulud-Angriff ist kein isoliertes Ereignis. Er ist Teil eines Musters, bei dem Angreifer die Diskrepanz zwischen der zentralen Bedeutung von Open-Source-Software und den begrenzten Ressourcen ihrer Maintainer ausnutzen. Für Unternehmen heißt das: Transparenz, klare Governance und bewusstes Zögern sind entscheidende Bausteine, um ihre Software-Lieferkette zu schützen. Open Source bleibt ein Motor der Innovation – aber blindes Vertrauen reicht nicht mehr. Nur durch vorausschauende Prüfung, kontrollierte Einführung und Zero-Trust-Praktiken entsteht echte Resilienz.