SecFlowX Story Nr. 1 — Verwundbare Pakete ohne CVE
- Software-Lieferketten-Angriffe zielen auf Pakete, von denen Tausende Projekte abhängen.
- SCA-Tools setzen einen CVE in der NVD voraus — schädliche Pakete ohne CVE bleiben unentdeckt.
- Paket-Inventarisierung (wie in SecFlowX) erkennt bekannte schädliche Abhängigkeiten ganz ohne CVE.
In den vergangenen Jahren sind Open-Source-Bibliotheken und -Komponenten zu einem unverzichtbaren Bestandteil unserer Softwareentwicklung geworden. Dank der Kraft der Community haben wir Zugriff auf erprobte Komponenten, die alles von trivialen bis hin zu komplexen Problemen lösen — Code, der von vielen Menschen geprüft und im Verhältnis zu seiner Nutzung gehärtet wurde.
Das ist die halbvolle Seite des Glases. Auf der leeren Seite sitzen böswillige Akteure. Bibliotheken, von denen bekannt ist, dass sie von Tausenden — ja Millionen — Menschen genutzt werden, sind ein attraktives Ziel, um auf einen Schlag ein großes Publikum zu erreichen oder deren Systeme zu infiltrieren. Deshalb greifen Angreifer heute Projekte an, die in Paket-Registries wie NPM, PyPI und GitHub gehostet werden.
Gelingt es einem Angreifer, ein Paket oder eine Anwendung zu kompromittieren, erhält er gleichzeitig Zugriff auf jedes System, das davon abhängt — der Kern eines Software-Lieferkettenangriffs.
CVE → NVD → SCA
Der Ablauf, in dem eine in einer Bibliothek entdeckte Schwachstelle in der NVD (National Vulnerability Database) erfasst und anschließend für Scan-Werkzeuge nutzbar wird, erlaubt es uns, mit SCA-Werkzeugen (Software Composition Analysis) festzustellen, ob eine von einem Forscher gemeldete Schwachstelle in den Projekten unserer Organisation vorhanden ist.
Wo SecFlowX ansetzt
SecFlowX bietet einen detaillierten Überblick sowohl auf Projekt- als auch auf Organisationsebene. Die Abhängigkeiten von Anwendungen und ihr Schwachstellenstatus lassen sich entweder über eine CI/CD-Integration oder über direkt aus SecFlowX ausgelöste Scans ermitteln.
Schwachstellen ohne CVE
Aber was ist mit einem böswilligen Paket oder einer Anwendung, die keine CVE-Kennung besitzt? Eines der besorgniserregendsten Themen für Organisationen ist derzeit böswillige Pakete ohne CVE. Der in LiteLLM eingeschleuste Schadcode ist eines der deutlichsten Beispiele — zum betreffenden Zeitpunkt war noch keine CVE zugewiesen worden.
Ein grype-Scan gegen ein Beispielprojekt, das litellm==1.82.8 festlegt, liefert keine Erkennung für das verwundbare Paket. Das ist kein Fehler von grype oder irgendeinem SCA-Werkzeug — die Datenbank enthält schlicht keinen solchen Eintrag.
Wie lösen wir das also? Die Antwort ist eindeutig: durch die Nachverfolgung des Paketbestands. Wenn wir alle Abhängigkeiten und Versionsinformationen der Projekte unserer Organisation kennen, können wir prüfen, ob eine betroffene Komponente vorhanden ist. Ein Scan desselben Projekts über SecFlowX bestätigt, dass die als verwundbar bekannte Bibliothek litellm==1.82.8 in unserem Bestand vorhanden ist — und das ganz ohne jede CVE-Kennung.
Zusammenfassung
Software-Lieferkettenangriffe und die Abwehrmaßnahmen dagegen werden mit jedem Tag wichtiger. Zu wissen, welche Komponenten im Bestand einer Organisation vorhanden sind, ist nicht länger optional — es ist eine zwingende Anforderung. SecFlowX hilft dabei, Ihre bestehenden Prozesse der Anwendungssicherheit sicherer und nachhaltiger zu gestalten.
Häufig gestellte Fragen
Warum kann ein SCA-Tool ein verwundbares Paket ohne CVE nicht erkennen?
SCA-Tools wie grype gleichen Ihre Abhängigkeiten mit Schwachstellendatenbanken wie der NVD ab. Fehlt für ein schädliches oder verwundbares Paket ein CVE-Eintrag, gibt es keinen Abgleich — der Scan bleibt sauber, obwohl das Risiko real ist.
Wie hilft die Paket-Inventarisierung?
Wenn Sie genau wissen, welche Pakete und Versionen in Ihrer Organisation laufen, können Sie eine betroffene Komponente sofort bei Bekanntwerden prüfen — ohne auf einen CVE zu warten. SecFlowX bestätigte das bekannt-verwundbare litellm==1.82.8 allein aus dem Inventar.