​​​​​Google: SolarWinds-Angreifer sollen iOS-0-Day-Lücke verwendet haben
#Exploit #LinkedIn #Sicherheit #SupplyChainAttack #iOS #iPhone #solarwinds

Die mutmaßlich aus Russland stammenden Hacker nutzten eine auch in neueren iPhones steckende Lücke – der Schadcode kam über LinkedIn-Links․

​​​​​heise-Angebot: Supply Chain Security: Jetzt noch Frühbucherrabatt für den Thementag sichern
#Log4j #Sicherheit #Softwareentwicklung #SupplyChain #SupplyChainAttack #solarwinds

Die halbtägige Online-Veranstaltung am 26․ April beschäftigt sich mit den Schwachstellen in der Softwarelieferkette und Maßnahmen, um sie abzusichern․

​​​​​Npm-Schwachstelle "Package Planting": Vertrauen ist gut, Kontrolle ist besser
#Aquasec #GitHub #SupplyChainAttack #npm #paketmanager

Eine als Package Planting bezeichnete Sicherheitslücke im Paketmanager npm erlaubte laut Aquasec, die Vertrauenswürdigkeit bekannter Maintainer zu missbrauchen․

​​​​​Verwirrung um vermeintlichen Dependency-Confusion-Angriff auf deutsche Firmen
#JFrog #JavaScript #Snyk #SupplyChainAttack #npm

Ein scheinbar bösartiger Supply-Chain-Angriff auf vier Firmen hat sich als Penetrationstest herausgestellt, zeigt aber die anhaltende Gefahr der Attacken․

​​​​​Assured OSS: Google verspricht sichere Open-Source-Software
#Google #GoogleCloud #OpenSource #Sicherheit #Softwareentwicklung #SupplyChainAttack

Der neue Service Assured Open Source Software liefert Pakete, die Google ausgiebig getestet hat und im eigenen Entwicklungsprozess verwendet․

​​​​​Schwachstelle in der API von Travis CI legt sensible Nutzerdaten offen
#Aquasec #GitHub #SupplyChainAttack #npm #paketmanager

Laut Aquasec eröffnet eine Sicherheitslücke in der kostenfreien Version des CI/CD-Tools Travis CI Angreifern den Zugriff auf Tokens, Nutzerdaten und Passwörter․