Connect with us

Entwicklung & Code

Bösartige npm-Pakete: SAP-Software kompromittiert | heise online


Die Hackergruppe TeamPCP hat am 29. April offenbar Schadcode in mehrere npm-Pakete des deutschen Softwareunternehmens SAP eingeschleust. Die Payload der manipulierten Paketversionen stiehlt unter anderem SSH‑Schlüssel, Cloud‑Credentials, Kubernetes‑Konfigurationen und GitHub‑Token. Entwicklerinnen und Entwickler sollten umgehend handeln, empfehlen die Sicherheitsforscher von Socket.

Weiterlesen nach der Anzeige

Socket führt in seinem Blog vier bösartige npm-Pakete auf, die anscheinend von der berüchtigten Hackergruppe TeamPCP in Umlauf gebracht wurden: mbt@1.2.48, @cap-js/db-service@2.10.1, @cap-js/postgres@2.2.2 und @cap-js/sqlite@2.2.2. Die Pakete gehören zum JavaScript- und Cloud-Anwendungsentwicklungs-Ökosystem von SAP und bringen es laut den Sicherheitsforschern zusammen auf mehr als 550.000 Downloads pro Woche. Verfügbar waren die vier Pakete auf npmjs.com, der von GitHub betriebenen zentralen Paket‑Registry für JavaScript/Node.js‑Pakete.

Die kompromittierten Pakete enthalten jeweils ein modifiziertes package.json mit dem preinstall‑Hook "preinstall" : "node setup.mjs". Das Skript setup.mjs wird automatisch ausgeführt, sobald jemand das Paket installiert, egal ob lokal oder in einer CI‑Pipeline. Dann stößt der Hook den Download einer Bun-Binary von GitHub an, entpackt sie und startet den Download der Payload, der 11,7 MB großen Datei execution.js.

Auf Entwicklersystemen hat es die Infostealer-Malware auf zahlreiche Datentypen abgesehen, darunter zum Beispiel auf SSH-Schlüssel und Cloud-Zugangsdaten für Amazon Web Services (AWS), Google Cloud Platform (GCP), Kubernetes und Microsoft Azure. Im Fokus stehen außerdem GitHub CLI- und npm-Token, Konfigurationsdateien und Krypto-Wallets. Die gestohlenen Daten landen anschließend verschlüsselt in einem GitHub‑Repository. Findet die Malware keine GitHub-Credentials, erstellt sie ein neues GitHub-Konto und nutzt dieses für die Exfiltration der Daten.

Die Schadversionen waren laut den Sicherheitsforschern von Onapsis insgesamt nur etwa zwei bis vier Stunden lang im Umlauf. Entwicklerinnen und Entwicklern, die die genannten Paketversionen verwenden, empfiehlt Socket dennoch eine umgehende Aktualisierung und rät außerdem dazu, sämtliche mit den Paketen genutzte Zugangsdaten zu erneuern. Bereinigte Nachfolgeversionen der Pakete stehen auf npmjs.com bereit. SAP hat den Vorfall in der Security Note 3747787 dokumentiert.

Weiterlesen nach der Anzeige

Für die Sicherheitsforscher von Socket hat die aktuelle Malware-Attacke technisch und operativ viel mit den Shai-Hulud-Angriffen gemeinsam, die letztes Jahr in großem Umfang liefen. Weil der TeamPCP-Angriff jedoch auf ein kleineres und spezifisches Ökosystem abzielt, bezeichnen sie ihn als Mini Shai‑Hulud.


(mro)



Source link

Entwicklung & Code

Nach jahrelanger Blockade: Quelloffenes HDMI 2.1 kommt endlich für Linux


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Die jahrelange Abwesenheit von HDMI 2.1 für quelloffene Linux-Treiber hat ein Ende. Erste Patches gibt es für den Radeon-Kernel-Treiber AMDGPU und den Community-Treiber Nouveau für Nvidia-GeForce-Grafikkarten. Sie unterstützen den mit HDMI 2.1 eingeführten Fixed Rate Link (FRL), der für die erhöhte Datenübertragungsrate notwendig ist.

Weiterlesen nach der Anzeige

Das verantwortliche HDMI-Forum blockierte Open-Source-Treiber für HDMI 2.1 unter Linux jahrelang. Aktuelle Grafikkarten waren deswegen auf HDMI 2.0 beschränkt, obwohl ihre Anschlüsse mit dem neueren 2.1er-Standard umgehen können.

Ein AMD-Treiberentwickler bestätigte im Phoronix-Forum, dass eine vollständige HDMI-2.1-Implementierung erscheinen soll: „Eine vollständige Implementierung wird letztlich verfügbar sein, sobald die Patches fertiggestellt und die Konformitätsprüfungen abgeschlossen sind.“

Ob das HDMI-Forum eingeknickt ist oder AMD zusammen mit Valve eine unabhängige Lösung gefunden hat, verrät derweil keine der Parteien. Klar ist, dass AMD schon 2021 eine Open-Source-Implementierung entwickelt hat, deren Veröffentlichung das HDMI-Forum jedoch verbot. Das Argument: Selbst ohne Komponenten des HDMI-Forums im Treiber würde AMD die Lizenzbestimmungen verletzen. Ende 2025 bestätigte Valve, an der Blockade durch den Lizenzgeber zu arbeiten.

Valve treibt Linux-Gaming seit Jahren voran, vor allem im Zusammenspiel mit AMD-GPUs, die im Handheld-PC Steam Deck und dem kommenden Wohnzimmer-PC Steam Machine zum Einsatz kommen. HDMI-2.1-Support ist für die Steam Machine wichtig, um ohne Bastellösungen und Einschränkungen moderne 4K-Fernseher mit mehr als 60 Hertz ansteuern zu können.

Weiterlesen nach der Anzeige

Der Druck auf das HDMI-Forum wuchs seit Jahresbeginn, da etwa der Entwickler Michał Kopeć schon inoffizielle HDMI-2.1-fähige AMDGPU-Treiber veröffentlicht hat. Im Falle von Nouveau hat einer der verantwortlichen Red-Hat-Kernel-Entwickler, David Airlie, einen Patch mit Fixed Rate Link veröffentlicht. Bei Nvidia-GPUs funktioniert das offenbar, weil der integrierte GPU System Processor (GSP) weite Teile der Ausführung übernimmt. Hier könnte der AMDGPU-Treiber künftig helfen, um mehr Funktionen wie variable Refresh-Raten (HDMI VRR) einzuführen.


(mma)



Source link

Weiterlesen

Entwicklung & Code

Informatiker sind die besseren Vibe-Coder


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Drei Forscher von der ETH Zürich haben in einer Studie mit hundert Studierenden untersucht, welche Fähigkeiten zu guten Ergebnissen beim Vibe-Coden führen. Dabei zeigte sich, dass Informatikkenntnisse und eine gute Sprachfähigkeit hilfreich sind. Schlechtere Ergebnisse lieferten überraschenderweise die Teilnehmerinnen und Teilnehmer, die KI häufiger im Alltag nutzen.

Weiterlesen nach der Anzeige

Für die Studie haben Sverrir Thorgeirsson, Theo Weidmann und Zhendong Su den hundert Studentinnen und Studenten, die bereits einen Einführungskurs in Informatik absolviert hatten, drei Vibe-Coding-Aufgaben gestellt: Sie sollten eine App zur Planung von Mahlzeiten nachbauen, eine App zur Organisation der eigenen Universitätskurse um neue Funktionen erweitern und eine abstrakte App ohne erkennbaren Zweck ebenfalls nachbauen.

Um die Ergebnisse besser einordnen zu können, prüften die Forscher zusätzlich die allgemeinen kognitiven Fähigkeiten der Teilnehmer, ihre Informatikkenntnisse und ihre schriftliche Ausdrucksfähigkeit in einem kurzen Essay.

Im Ergebnis zeigt sich, dass Informatikkenntnisse den größten Einfluss auf eine erfolgreiche Lösung der Aufgaben hatten. Dieser Effekt bleibt auch bestehen, wenn die Forscher die Unterschiede in den allgemeinen kognitiven Fähigkeiten der Studierenden nivellierten. Allerdings zeigt die Studie hier nur eine Korrelation und gibt keine Auskunft über die ursächlichen Zusammenhänge. Die Wissenschaftler vermuten jedoch, dass Personen, die besser verstehen, wie Programme funktionieren, einer KI auch effizientere Anweisungen geben können.

Ebenfalls vorteilhaft zeigten sich sprachliche Fähigkeiten. Studenten, die sich besser und strukturierter ausdrücken können, schreiben auch die erfolgreicheren Prompts. Unklare oder ungenaue Formulierungen ergeben hingegen eher fehlerhafte Programme.

Weiterlesen nach der Anzeige

Als überraschende Erkenntnis zeigte sich, dass Studierende, die im Alltag besonders oft KI nutzen, sowohl beim Schreiben der Essays als auch beim Vibe Coding schlechter abschnitten. Warum das so ist, erklärt die Studie ebenfalls nicht. Für die Autoren wäre es denkbar, dass der häufige Einsatz von Sprachmodellen die eigene Ausdrucksfähigkeit schwächt. Umgekehrt könnten aber auch Studenten, die beim Schreiben eher Schwierigkeiten haben, schneller zu KI-Tools greifen.


(who)



Source link

Weiterlesen

Entwicklung & Code

WTF: Microsoft erzwingt „Co-Authored-by Copilot“ in Commits


Ein Pull Request für VS Code sorgt auf Github derzeit für Unmut: Denn er macht Copilot standardmäßig zum Co-Autor in jeder Commit Message, sofern das KI-Tool bei den jeweiligen Änderungen an einem Projekt mithilfe der Programmiersoftware VS Code zum Einsatz kam. In der Developer-Community herrschte neben Verwirrung über das Thema auch einiger Frust über diesen Schritt. Wer sich die Commit Message nicht mit Copilot teilen will, kann diese Einstellung aber deaktivieren.

Weiterlesen nach der Anzeige

Laut der Übersicht zum Pull Request wird die Einstellung git.addAICoAuthor der Git-Erweiterung für VS Code standardmäßig auf all gesetzt. Die Auswirkung: Wenn bei einer Änderung am Code ein Copilot-Feature genutzt wird, etwa Inline-Vervollständigungen oder Agenteneinsatz, wird dieses bei der Veröffentlichung auf Git in der Commit Message kenntlich gemacht. Hier ist dann „Co-authored-by: Copilot copilot@github.com“ zu lesen.

In der Community sorgte das zunächst für einige Verwirrung, mancher Nutzer versuchte verzweifelt, die Copilot-Erwähnung händisch wieder aus der Commit Message zu löschen – nur um diese dann nach Veröffentlichung darin wiederzufinden, wie jemand in diesem Git-Thread berichtet. Unter dem Pull Request selbst häufen sich derweil Beschwerden aus der Nutzerschaft. Viele ärgern sich über mangelndne Kommunikation der Änderung und berichten ebenfalls vom zunächst unerklärlichen Verhalten der Commit Messages. Aber es gibt offenbar auch größere Probleme: Mehrere Nutzer beklagen, dass Copilot auch dann erwähnt wird, wenn das Tool überhaupt nicht zum Einsatz kam.

Über die Einstellungen von VS Code lässt sich das neue Verhalten deaktivieren. Über das Zahnrad unten links gelangt man ins entsprechende Menü. Hier muss unter Settings>Extensions>Git unter „Add AI Co Author“ die Option „off“ gesetzt werden. Alternativ kann auch "git.addAICoAuthor": "off" in der settings.json eingetragen werden.

Bei einem kurzen Test in unserer Redaktion mit VS Code v1.118 unter macOS war in den VS-Code-Einstellungen standardmäßig „chatAndAgent“ gesetzt. Laut Microsoft soll sich die automatische Copilot-Erwähnung damit auf Fälle beschränken, in denen Hilfestellungen des Chatbots oder des KI-Agenten genutzt wurden. Wer sichergehen will, sollte aber auf jeden Fall die Einstellung „off“ wählen.

Weiterlesen nach der Anzeige

Lesen Sie auch


(nen)



Source link

Weiterlesen

Beliebt