IT-Forscher von Flare haben Images auf Docker Hub untersucht, ob darin geheime Zugangsdaten enthalten und extrahierbar sind. Sie konnten aus mehr als 10.000 Images solcher Secrets auslesen.

In einer Analyse geben die IT-Sicherheitsforscher einen Überblick und geben Hinweise, wie sich Organisationen besser vor solchem unbeabsichtigtem Datenabfluss schützen können. Die IT-Analysten haben untersucht, wem die Zugangsdaten gehören, auf welche Umgebungen sie Zugriff ermöglichen und wie groß die potenziellen Auswirkungen auf betroffene Einrichtungen und deren Umfeld sind.

Viele tausend Docker-Images mit Zugangsinformationen

Der Docker Hub ist eine zentrale Stelle in der Cloud zur Registrierung, Ablage und zum Teilen von Images. Diese können öffentlich oder privat sein und lassen sich etwa zur automatisierten Bereitstellung von Software nutzen. Nach einem Monat sind die Flare-Mitarbeiter auf mehr als 10.000 Abbilder gestoßen, die Secrets geleakt haben – einschließlich Zugangsdaten zu Produktivsystemen. Davon betroffen sind mehr als 100 Organisationen, eine davon sogar in den Fortune-500 gelistet und eine große Bank. Vielen war der Datenabfluss gar nicht bewusst.

Ganze 42 Prozent der Images enthielten sogar fünf oder mehr Secrets, sodass mit ihnen in einem Rutsch Zugang zu ganzen Cloud-Umgebungen, Softwareverteilung und Datenbanken der Organisation möglich wurde. Den größten Anteil an den abgeflossenen Secrets hatten API-Keys zu KI-LLM-Modellen, alleine dafür kamen rund 4000 zusammen. Für die IT-Forscher ist das ein Hinweis, wie sehr die KI-Nutzung die Anpassung der Sicherheitskontrollen bereits überholt hat. Ein weiterer großer Posten entfällt auf sogenannte Schatten-IT-Zugänge – persönliche Zugangsdaten von Mitarbeitern oder Vertragspartnern. Die sind für unternehmensweite Monitoring-Systeme unsichtbar, erklären die Forscher.

Zwar hätten Entwickler oftmals abgeflossene Secrets aus Containern entfernt, jedoch haben etwa drei Viertel von ihnen die betroffenen Keys nicht zurückgezogen und erneuert, was die Organisationen für Monate oder Jahre exponiert lässt. Flare führt das zur Schlussfolgerung, dass Angreifer sich nicht in die Systeme reinhacken, sondern dort hinein authentifizieren. Als Beispiel dafür nennen die IT-Forscher den Shai-Hulud-2-Wurm, der sich im npm-Ökosystem ausbreitet. Die Analyse liefert Interessierten noch detailliertere Einblicke.

Eine Artikelreihe auf heise online widmet sich der Docker Image Security und gibt konkrete Hinweise, wie man etwa minimale, sichere Container-Images selbst baut. Da nicht nur in Docker-Images häufig vertrauliche Zugangsdaten enthalten sind, sondern auch allgemein in (öffentlichen) Repositories aus der Softwareentwicklung vielfach Credentials zu finden sind, gibt es sogar Tools, die beim Aufspüren von geleakten Secrets auf GitHub helfen.

(dmk)

Google hat Funktionen zur Verbesserung der Sicherheit von Android-Apps vorgestellt. Entwickler können mit sehr einfachen Ergänzungen ihre Apps etwa besser vor Ausspähen sensibler Daten schützen.

Ein Beitrag im Android-Developers-Blog erklärt etwa das neue Flag accessibilityDataSensitive in Android 16. Android-Malware nutzt häufig Barrierefreiheitsfunktionen, etwa der Anatsa-Banking-Trojaner oder die Copybara-Malware[Link auf Beitrag 4602725][Link auf Beitrag 4658025] und viele weitere, um Zugangsdaten oder andere sensible Informationen aus Android-Apps auszuspähen und an die kriminellen Drahtzieher auszuleiten. Google erklärt daher auch: „Bösartige Akteure versuchen, Accessibility-APIs zu missbrauchen, um sensible Informationen wie Passwörter und Finanzdetails direkt vom Bildschirm zu lesen und um Geräte von Nutzern zu manipulieren, indem sie falsche Berührungen damit einschleusen“.

Mit dem Flag accessibilityDataSensitive können Entwickler nun Ansichten oder sogenannte Composables markieren und damit erklären, dass sie sensible Informationen enthalten. „Setzt du das Flag in deiner App auf true, blockierst du im Wesentlichen potenziell bösartige Apps, sodass sie nicht auf deine sensiblen Daten zugreifen oder Interaktionen damit ausführen können“. Das Flag sorgt dafür, dass jedwede App, die Berechtigungen für Barrierefreiheitsfunktionen anfordert, sich jedoch nicht als legitimes Barrierefreiheits-Tool deklariert hat (Flag isAccessibilityTool=true), keinen Zugriff auf die Ansicht erhält.

Google setzt das Flag bereits ein

Das neue Flag haben Googles Entwickler bereits in die bestehende Methode setFilterTouchesWhenObscured integriert. In Apps, in denen die Entwickler bereits setFilterTouchesWhenObscured(true) zum Schutz der App vor „Tapjacking“ gesetzt haben, werden dadurch die Ansichten automatisch als sensible Daten für die Barrierefreiheit behandelt. Das soll zudem umgehend mehr Sicherheit liefern, ohne dass Entwickler zusätzlichen Aufwand haben.

Google empfiehlt Entwicklern, entweder setFilterTouchesWhenObscured oder accessibilityDataSensitive für alle Anzeigen zu nutzen, die sensible Informationen enthalten – einschließlich Login-Seiten, Zahlungsflüssen oder Ansichten mit persönlichen Daten oder Finanzinformationen. Weitere hilfreiche Informationen soll der Developer-Artikel über Tapjacking von Google liefern.

Auch mit Android 15 hat Google neue Funktionen implementiert, die die Datensicherheit erhöhen sollen.

(dmk)

Die DevSecOps-Plattform GitLab ist verwundbar. In aktuellen Versionen haben die Entwickler mehrere Sicherheitslücken geschlossen. Im schlimmsten Fall können Angreifer Systeme kompromittieren.

Die Entwickler versichern in einer Warnmeldung, dass sie in den Ausgaben 18.4.6, 18.5.4 und 18.6.2 insgesamt zehn Sicherheitslücken geschlossen haben. Davon sind vier mit dem Bedrohungsgrad „hoch“ eingestuft (CVE-2025-12716, CVE-2025-8405, CVE-2025-12029, CVE-2025-12562). Auf GitLab.com sollen bereits die abgesicherten Versionen laufen.

Verschiedene Gefahren

Setzen Angreifer erfolgreich an diesen Lücken an, können sie unter anderem Wiki-Seiten mit Schadcode erstellen oder Malware in Code Flow Displays verankern. In beiden Fällen müssen Angreifer aber bereits authentifiziert sein. Außerdem kann es nach DoS-Attacken zu Abstürzen kommen. Bislang gibt es keine Hinweise auf bereits laufende Attacken.

Durch die verbleibenden Schwachstellen können unter anderem Informationen leaken.

Zuletzt haben die GitLab-Entwickler Ende November mehrere Sicherheitslücken geschlossen.

(des)