Was ist passiert?
Die Sicherheitsforscher haben eine neue Angriffskampagne namens „Cordyceps“ entdeckt, die gezielt böswillige Pull Requests in CI/CD-Workflows einschleust. Die Kampagne betrifft hochkarätige Ziele wie Microsofts Azure Sentinel, Googles AI Agent Development Kit, Apaches Doris-Datenbank, Cloudflares Workers SDK und das Black-Projekt der Python Software Foundation. Ziel der Angreifer ist es, malicious Code in produktive Systeme einzuschleusen.
Hintergrund & Bedeutung
CI/CD-Pipelines sind das Herzstück moderner Softwareentwicklung, aber auch ein kritischer Angriffsvektor. „Cordyceps“ nutzt eine Schwachstelle in diesem Workflow: Angreifer erstellen scheinbar legitime Pull Requests, die böswilligen Code oder Abhängigkeiten enthalten. Diese werden oft übersehen, da Entwickler unter Zeitdruck stehen und automatisierte Tests umgangen werden können. Eine erfolgreiche Infiltration hätte katastrophale Folgen – der manipulierte Code würde in Millionen von Systemen weltweit deployed.
Empfehlungen für IT-Teams
Implementieren Sie strenge Code-Review-Prozesse mit verpflichtenden vier-Augen-Kontrollen für alle Pull Requests. Setzen Sie Branch-Protection-Rules durch und aktivieren Sie erforderliche Status-Checks. Nutzen Sie SBOM-Tools (Software Bill of Materials) zur Abhängigkeitsverfolgung und integrieren Sie statische Code-Analyse in Ihre CI/CD-Pipeline. Schulen Sie Entwickler in Sicherheitsthemen und implementieren Sie Least-Privilege-Prinzipien für Repository-Zugriffe. Monitoring von ungewöhnlichen Pull-Request-Aktivitäten ist essentiell.
Fazit
Die „Cordyceps“-Kampagne zeigt, dass auch etablierte Projekte Ziel von Supply-Chain-Angriffen sind. Eine Kombination aus technischen Kontrollen, Prozessen und Schulungen ist notwendig, um CI/CD-Pipelines zu schützen.
Quelle: Original Artikel