LONDON / LONDON (IT BOLTWISE) – CrowdSec berichtet, dass ein Angreifer am 22. Mai etwa 170 private GitHub-Repositories kopiert hat. Ursache soll der im TanStack-npm-Angriff missbrauchte Supply-Chain-Mechanismus sein, bei dem mehrere bösartige Paketversionen Entwicklerdaten und Tokens abgriffen. Für die Kopie soll ein OAuth-Token eines kurz zuvor ausgeschiedenen Mitarbeiters genutzt worden sein. Zusätzlich gelangten dabei E-Mail-Adressen von 83 CrowdSec-Nutzern sowie Investorendaten aus einem nicht für die Öffentlichkeit gedachten System an einen Forenpost.
Im Zentrum des aktuellen Vorfalls steht weniger ein klassischer Datenabgriff als vielmehr die zeitliche Kette eines Supply-Chain-Fehlers: Laut CrowdSec wurde am 22. Mai ein großer Teil der privaten GitHub-Repositories des Unternehmens kopiert. Betroffen seien rund 170 Repositories gewesen, und der Zugriff sei über ein Mitarbeiterkonto erfolgt, dessen Besitzer kurz zuvor das Unternehmen verlassen hatte. CrowdSec ordnet das Ereignis explizit dem TanStack-npm-Angriff zu, bei dem im Mai manipulierte Paketversionen auf Entwicklerrechnern Anmeldedaten und Cloud-Zugänge ausgelesen haben sollen.
Technisch beschreibt die Meldung einen typischen Angriffspfad, der bei Build- und Abhängigkeitsketten besonders wirksam ist: Nachdem am 11. Mai mehrere bösartige Versionen von insgesamt 42 TanStack-npm-Paketen veröffentlicht worden waren, soll beim Installieren Code ausgeführt worden sein, der unter anderem GitHub-Tokens, SSH-Keys und Cloud-Credentials entwendete. Das Geschehen wird als CVE-2026-45321 geführt. CrowdSec erklärt außerdem, dass der Kopiervorgang elf Tage später stattfand, also offenbar nachdem die kompromittierte Konfiguration bereits Wirkung gezeigt hatte und Tokens noch verfügbar waren.
Bemerkenswert ist dabei die Rolle der „offenen“ Account-Session: CrowdSec habe den GitHub-Zugang des ehemaligen Mitarbeiters bewusst offen gelassen, um ihm das Abschließen noch laufender Arbeiten zu ermöglichen. Erst am 25. Mai entfernte das Unternehmen das Konto aus der GitHub-Organisation; nach Unternehmensangaben seien weitere Zugänge bereits zuvor entzogen worden. CrowdSec betont zudem, dass die eigene Infrastruktur und Datenbanken nicht angefasst wurden und auch kein Code verändert worden sei. Gleichzeitig nennt die Firma ein Detail, das die Nachvollziehbarkeit erschwert: Das Unternehmen sagt, der OAuth-Token habe keine Spuren in den GitHub-Logs hinterlassen, die es auswerten konnte, und sei zudem nicht mehr vorhanden gewesen, als der Leak entdeckt wurde.
Für Sicherheitsverantwortliche rückt damit eine zweite Ebene in den Fokus: Welche Daten waren im Archiv enthalten? Laut CrowdSec enthielt der geleakte Code sowohl die Web-Konsole als auch Skripte und Modelle aus dem Data-Science-Umfeld, Automation-Komponenten und den Konsensalgorithmus, der entscheidet, welche IP-Adressen in eine gemeinsame Blocklist aufgenommen werden. Zudem beschreibt CrowdSec, dass der Leak fast vier Monate alt gewesen sei und sich der Code seitdem stark verändert habe. Besonders sensibel sind dabei die im Material enthaltenen Schwellenwerte des Konsensmechanismus, etwa wie viele Detektionen erforderlich sind, bevor eine IP geblockt wird – Werte, die zuvor nicht öffentlich gewesen seien.
Gleichzeitig versucht CrowdSec, die unmittelbare Angriffsoberfläche einzuordnen: Nach eigenen Angaben sei die Blocklist bislang nicht „poisonbar“, also nicht ohne Weiteres durch harmlose IPs manipulierbar. Dafür wäre ein sehr hoher Aufwand nötig, beispielsweise viele Detektionen aus vielen als vertrauenswürdig geltenden Engines über mehrere voneinander getrennte Netzwerke hinweg. Die Firma verweist außerdem darauf, dass sie die Schwellenwerte regelmäßig anpasst. Gleichzeitig ergänzt die Meldung eine konkrete Credential-Realität: Als einzig nutzbares Geheimnis im Leak wird ein AWS SNS-Zugriff beschrieben, der nur Nachrichten an genau einen Topic veröffentlichen könne. Ein früherer Versuch, dieses Credential am 17. August zu verwenden, habe laut CrowdSec nicht funktioniert; andere Tokens seien bereits rotiert oder von außen nicht verwertbar gewesen.
Auf der Markt- und Branchenebene wird sichtbar, wie breit der gleiche Supply-Chain-Fehler nach dem ersten Durchbruch gewirkt haben soll. CrowdSec beschreibt, dass derselbe Angriff auch andere Unternehmen erreicht habe: Mistral AI habe von einem betroffenen Entwicklersystem gesprochen, und OpenAI nennt zwei betroffene Mitarbeitende-Devices sowie einen unautorisierten Zugriff auf einen eingeschränkten Satz interner Code-Repositories. Parallel dazu betont CrowdSec, dass die eigenen Entwicklergeräte nachträglich überprüft worden seien und „sauber“ zurückgekommen seien. In der Summe deutet das darauf hin, dass die spätere Missbrauchsphase primär mit aufbewahrten Tokens und persistierenden Zugängen zusammenhing, nicht mit einem fortlaufenden Intrusionsfenster.
Last but not least verschiebt die Meldung auch die Kommunikation über den Vorfall über die Zeit: CrowdSec habe zunächst in einer früheren Stellungnahme erklärt, es seien keine Kundendaten wie Login-/Passwortdaten oder weitere Identitätsinformationen geleakt worden, und die Auswirkung sei auf das eigene Unternehmen begrenzt gewesen. Einen Tag später korrigierte das Unternehmen die Einordnung und führt die Leckage nun auf den ehemaligen Mitarbeitenden-Account zurück; außerdem nennt CrowdSec diesmal Details zu Investorennamen und ergänzt die Liste um 83 Nutzer-E-Mailadressen. Laut Bericht will CrowdSec die betroffenen Nutzer kontaktieren und die Investoren sowie die zuständigen Behörden informieren. Für Kunden und Teams mit ähnlichen Abläufen ist die zentrale Lehre damit weniger „Endpoint-Protektion allein“, sondern das Zusammenspiel aus Token-Lebensdauer, Berechtigungsmanagement und Dependency-Sicherheit entlang der Softwarelieferkette.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "CrowdSec-Leak: TanStack-npm-Angriff führt zu Kopie von 170 privaten Repos" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "CrowdSec-Leak: TanStack-npm-Angriff führt zu Kopie von 170 privaten Repos" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »CrowdSec-Leak: TanStack-npm-Angriff führt zu Kopie von 170 privaten Repos« bei Google Deutschland suchen, bei Bing oder Google News!