Quellcode geklaut: Unbekannte steigen per Supply-Chain-Angriff bei CrowdSec ein

Die quelloffene Web Application Firewall (WAF) CrowdSec war im Mai von einem Supply-Chain-Angriff betroffen; Quellcode aus 300 verschiedenen Repositories wurde unerlaubt kopiert. Das teilte der Hersteller in einer öffentlichen Erklärung mit. Man habe erst am 16. September von dem Leck erfahren. CrowdSec besteht aus einem Open-Source-Kern, der „Security Engine“, bietet aber über die gleichnamige Firma auch Cloud-Dienstleistungen an.

Der diesen Dienstleistungen zugrunde liegende Quellcode nebst Zugriffstokens für verschiedene APIs und Dienste geriet im Mai vermutlich mittels des Angriffs auf TanStack-Pakete in falsche Hände, die Quellen der Security Engine umfassen 130 Repositories und sind ohnehin quelloffen. Auch deswegen schätzt CrowdSec die Auswirkungen als eher gering ein.

Keine Nutzerdaten gefährdet

Man habe mögliche Lecks von Zugangsinformationen im Blick, sei jedoch sicher, dass keine Kunden- oder Nutzerdaten abgeflossen seien. Vor allem speichere CrowdSec keine personenbezogenen Daten oder Protokolle, die Auswirkungen träfen nur das Unternehmen selber.

Das Sicherheitsteam bei CrowdSec habe alle Zugriffsrechte rotiert und sich auf die Suche nach möglichen Hintertüren begeben, teilt es weiter mit.

CrowdSec ist eine WAF, die bei Betreibern von Webseiten und Homelabs beliebt ist. Sie lässt sich leicht zur Zusammenarbeit mit populären Reverse Proxies wie Traefik bewegen und kann unerwünschte Besucher nicht nur in Bausch und Bogen aussperren, sondern auch mit CAPTCHAS und anderen Maßnahmen zur Botkontrolle einhegen. Eine Einführung in das System gibt es als Praxisartikel bei der iX.