Sicherheitslücke bei Nx-Paketen führt zu massiven Datenlecks

LONDON (IT BOLTWISE) – Ein schwerwiegender Sicherheitsvorfall hat die Nx-Community erschüttert. Durch eine Schwachstelle in der Build-Plattform konnten Angreifer bösartige Versionen des beliebten npm-Pakets veröffentlichen, die sensible Daten von Nutzern sammelten. Die kompromittierten Pakete führten zu einem massiven Leck von GitHub-, Cloud- und KI-Zugangsdaten.

Ein kürzlich aufgedeckter Sicherheitsvorfall hat die Nutzer der Nx-Build-Plattform in Alarmbereitschaft versetzt. Angreifer nutzten eine Schwachstelle in der Plattform aus, um bösartige Versionen des weit verbreiteten npm-Pakets zu veröffentlichen. Diese Versionen enthielten Code, der in der Lage war, das Dateisystem zu scannen, Anmeldedaten zu sammeln und diese an ein GitHub-Repository unter dem Konto des Nutzers zu senden.

Die Nx-Plattform, die als technologieagnostische Open-Source-Build-Plattform bekannt ist, wurde durch eine Sicherheitslücke in ihrem Workflow kompromittiert. Diese Lücke ermöglichte es, ausführbaren Code über speziell gestaltete Pull-Request-Titel einzuschleusen. Der verwendete ‘pull_request_target’-Trigger führte dazu, dass Workflows mit erhöhten Berechtigungen ausgeführt wurden, einschließlich eines GITHUB_TOKEN mit Lese- und Schreibberechtigungen für das Repository.

Die Angreifer nutzten diesen Token, um den ‘publish.yml’-Workflow auszulösen, der für die Veröffentlichung der Nx-Pakete im npm-Registry verantwortlich ist. Durch die Ausführung des Workflows mit erhöhten Rechten konnten die Angreifer den npm-Token an eine von ihnen kontrollierte Webhook-Site exfiltrieren und so bösartige Versionen der Pakete veröffentlichen.

Die bösartigen Pakete enthielten ein Postinstall-Skript, das nach der Installation aktiviert wurde, um das System nach Textdateien zu durchsuchen, Anmeldedaten zu sammeln und diese als Base64-codierten String an ein öffentlich zugängliches GitHub-Repository zu senden. Dieses Skript modifizierte auch die .zshrc- und .bashrc-Dateien, um den Befehl ‘sudo shutdown -h 0’ hinzuzufügen, der das System sofort herunterfahren würde, wenn das Passwort eingegeben wird.

GitHub hat inzwischen begonnen, diese Repositories zu archivieren, und Nutzer werden aufgefordert, ihre GitHub- und npm-Anmeldedaten zu ändern. Die Nx-Entwickler haben Maßnahmen ergriffen, um die Sicherheit zu erhöhen, darunter die Rotation ihrer npm- und GitHub-Tokens und die Einführung von Zwei-Faktor-Authentifizierung für die Veröffentlichung von Paketen.

Die Sicherheitsfirma Wiz hat herausgefunden, dass 90 % der über 1.000 geleakten GitHub-Tokens noch gültig sind, ebenso wie Dutzende von Cloud-Anmeldedaten und npm-Tokens. Die Malware wurde häufig auf Entwicklerrechnern über die Nx Visual Studio Code-Erweiterung ausgeführt. Insgesamt wurden 1.346 Repositories mit dem String ‘s1ngularity-repository’ von GitGuardian entdeckt.

Diese Vorfälle verdeutlichen die zunehmende Komplexität von Supply-Chain-Angriffen und die Notwendigkeit, Sicherheitsmaßnahmen kontinuierlich zu verbessern. Die Nutzung von KI-Tools für bösartige Zwecke zeigt, wie wichtig es ist, Sicherheitsgrenzen zu erweitern und neue Bedrohungen frühzeitig zu erkennen.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KI-Sprachrekorder, PLAUD NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

64,59 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!