Lieferkettensicherheit

Ein Klick. Vollzugriff auf alle privaten Repositories Ihres Entwicklers. Forscher Ammar Askar veröffentlichte am 2. Juni einen funktionierenden Exploit für eine VS-Code-Zero-Day-Lücke – nachdem er Microsofts Offenlegungsprozess durchlaufen hatte und das Vertrauen in den Zeitplan verlor. Er veröffentlichte ihn öffentlich. Microsoft hatte innerhalb von 24 Stunden gepatcht. Ziel des Angriffs: Der browserbasierte Editor von GitHub,…

Das Security-Tool, das Ihr Entwickler gerade installiert hat, hat möglicherweise bereits Ihre Cloud-Keys gestohlen. Red Hats offizieller npm-Namespace wurde am 1. Juni kompromittiert. Zweiunddreißig Pakete unter @redhat-cloud-services – zusammen rund 80.000 Downloads pro Woche – enthielten ein Preinstall-Skript, das ausgeführt wurde, bevor eine einzige Zeile Anwendungscode lief. Bis das Paket fertig installiert war, hatte es…