Markt + Trends | Softwareentwicklung | iX

RepoJacking auf GitHub betrifft auch große Firmen wie Google

RepoJacking stellt auf GitHub ein realistisches Risiko dar, wie der Spezialist für Cloud-Native-Security Aqua Security festgestellt hat.

Beim RepoJacking übernehmen Angreifer Repositorys von Firmen oder Teams, die auf GitHub den Usernamen für ihre Inhalte geändert haben. Beispielsweise könnte ein Unternehmen auf GitHub unter dem Organisationsnamen Raider ein Repository angelegt und später den GitHub-Account in Twix umbenannt haben. Als Komfortfunktion kann GitHub Dependencies zum alten Account automatisch zum neuen umleiten. Skripte verwenden dann automatisch für Links auf Raider das Repository unter Twix.

Allerdings gibt GitHub normalerweise den alten Organisationsnamen frei. Wenn also jemand den frei gewordenen Namen Raider verwendet und darunter ein Repository mit dem alten Namen anlegt, greifen alle Dependencies zu Raider/repo nicht mehr auf die Weiterleitung, sondern auf das neu angelegte Repository zu.