Was ist passiert?
Sicherheitsforscher haben eine kritische Schwachstelle in Githubs Commit-Verifizierungssystem entdeckt. Signierte Git-Commits können manipuliert werden, ohne dass die digitale Signatur ungültig wird. Ein Angreifer kann ohne Zugriff auf den privaten Schlüssel einen neuen Commit mit identischem Inhalt, Autor und Datum erstellen – GitHub kennzeichnet diesen trotzdem als „Verified“. Während Hash und Inhalt unterschiedlich sind, passiert dies für Reviewer unbemerkt.
Hintergrund & Bedeutung
Git-Commit-Hashes gelten als eindeutige, unveränderbare Identifikatoren. Entwickler und Reviewer verlassen sich darauf, dass ein verifizierter Commit mit korrektem Hash tatsächlich vom erwarteten Autor stammt. Diese Forschung zeigt, dass GitHub-Verifizierungen diese Annahme nicht gewährleisten. Ein Angreifer könnte damit manipulierte Commits einschleusen, die als legitim erscheinen. Dies gefährdet die Supply-Chain-Sicherheit, besonders bei Open-Source-Projekten mit vielen Maintainern.
Empfehlungen für IT-Teams
- Code-Reviews verstärken: Überprüfen Sie nicht nur die „Verified“-Markierung, sondern auch den tatsächlichen Commit-Hash
- Branch-Protection aktivieren: Erzwingen Sie Commit-Signaturen und zusätzliche Review-Prozesse
- Monitorin ausbauen: Achten Sie auf verdächtige Commit-Hashes und mehrfache Commits mit gleichen Inhalten
- GitHub-Updates befolgen: Überwachen Sie offizielle Sicherheitsmitteilungen und Patches
Fazit
Die Verifizierungslogik von GitHub bietet weniger Sicherheit als angenommen. Teams sollten ihre Code-Review-Prozesse anpassen und Hash-Verifikationen stärker gewichten.
Quelle: Original Artikel