Mit Bug-Bounty-Programmen wollen Softwareprojekte externe IT-Forscher für das Auffinden und Melden von Sicherheitslücken locken und Einnahmemöglichkeiten schaffen. Künstliche Intelligenz ermöglicht nun, viel schneller und mehr Schwachstellen aufzudecken. Das führt dazu, dass immer mehr Projekte das Zahlen von Prämien im Rahmen der Bug-Bounty-Programme aufgrund der hohen Meldungszahl einstellen. Das jüngste Projekt, das die Einstellung von Zahlungen ankündigt, ist Nextcloud.

Auf der Bug-Bounty-Plattform HackerOne hat Nextcloud jetzt die Beschreibung des Programms entsprechend angepasst. „Bitte beachten Sie, dass Nextcloud keine monetären Prämien für Sicherheitsmeldungen ausschüttet, die durch dieses Programm übermittelt werden“, unter der Überschrift „Keine monetären Prämien“, findet sich seit einer Aktualisierung vom Mittwoch dort.

Nextcloud konkretisiert dazu, dass sie das Bug-Bounty-Programm mit Zahlungen temporär ausgesetzt haben, da sie mit einer hohen Anzahl an KI-generierten illegitimen Berichten konfrontiert seien – unabhängig vom Schweregrad. Man sehe sich aber weiterhin zutiefst der Sicherheit verpflichtet und arbeite weiter mit der Forschergemeinschaft zusammen. Gültige Meldungen werden weiter evaluiert, korrigiert und nach Veröffentlichung den Meldern zugeschrieben, wodurch Melder weiterhin Anerkennung erhalten.

Menge und Qualität der KI-Berichte

Im Angesicht der zahlreichen KI-Sicherheitsberichte nimmt Nextcloud nur noch solche an, die die Melder selbst manuell nachvollzogen haben und mit Screenshots belegen können. Berichte, in die die Melder keine Mühe gesteckt haben, werden ignoriert und als Spam aussortiert.

Ende März sah sich auch das HackerOne-Projekt „Internet Bug Bounty“ zu einem drastischen Schritt gezwungen, es nimmt demnach derzeit gar keine neuen Einreichungen an. Es handelt sich um ein populäres Bug-Bounty-Programm allgemein für Open-Source-Projekte.

In diesem Themenkomplex darf der curl-Gründer und -Hauptentwickler Daniel Stenberg natürlich nicht fehlen. In einem Blog-Beitrag geht Stenberg auf das „High Quality Chaos“ ein, das in der Realität bestehe. Er habe sich zuvor wieder und wieder über KI-Slop beschwert, wodurch hochfrequente Müll-Berichte an das curl-Bug-Bounty-Programm gesendet wurden. Das führte dazu, dass er das Bug-Bounty-Programm im Februar zunächst komplett eingestellt habe, dann aber doch wieder zu HackerOne zurückkehrte, da die Bug-Verwaltung in GitHub unzureichend war.

KI-Slop sei inzwischen nicht mehr das Problem, bestätigt Stenberg nun. Die Anzahl an Fehlerberichten nehme jedoch massiv zu, bis jetzt sei man schon bei der doppelten Rate als im Jahr 2025 angelangt. Die Qualität sei gestiegen. Die Bestätigungsrate gehe sogar über das Vor-KI-Level in 2024 hinaus – zur Größenordnung schreibt Stenberg, das seien immerhin 15 bis 16 Prozent der Reports. In jedem Bericht sei inzwischen jedoch KI involviert, ergänzt er, man erkenne das etwa an der Art der Formulierungen und Phrasen. Bei einer kurzen Recherche in Mastodon zu anderen Open-Source-Projekten habe sich bestätigt, dass curl nicht das einzige Projekt mit diesem Problem ist, er listet zahlreiche namhafte und große Projekte wie Apache httpd, Firefox, Linux Kernel und weitere.

Die Anzahl an gefixten Schwachstellen wird ebenfalls steigen. Stenberg kündigt an, dass curl 8.20.0, das er Mitte kommender Woche veröffentlichen will, mindestens sechs neue Schwachstellen ausbessert. Unklar ist er sich jedoch darüber, wo das enden wird. Es könne sein, dass die Meldungen in einigen Jahren ein Plateau erreichen, wie es mit Fuzzing zur Schwachstellensuche geschehen ist.

Da jetzt schon so eine Flut an Schwachstellen mit KI gefunden wird, stellt sich ein wenig die Frage, ob es wirklich sinnvoll ist, Schwachstellensuch-KI wie Mythos unter Verschluss zu halten. Die anderen KI-Entwickler hinken offenbar nicht allzu weit hinterher.

(dmk)

Unbekannte Angreifer haben die Datenbank der Behörde für abgesicherte Ausweise (ANTS) Frankreichs geknackt. Das hat die Behörde am 15. April festgestellt und sechs Tage später öffentlich bekanntgegeben. Demnach sind 11,7 Millionen Online-Konten betroffen. Laut französischer Medienberichte wird der erbeutete Datensatz bereits auf dem Schwarzmarkt feilgeboten. Dabei würden sogar 19 Millionen Datensätze versprochen.

Der Grund für den deutlichen Unterschied ist nicht gesichert. Der Verkäufer könnte schlicht übertreiben, oder Konten, die von der ANTS mehrere Dokumente bezogen haben, mehrfach zählen. Laut Behörde enthalten die erbeuteten Datensätze Username, Anrede, Vor- und Nachname, E-Mail-Adresse, Geburtsdatum, Kontonummer und, für einen Teil der Konten, zusätzlich Postadresse, Geburtsort und Telefonnummer. Anträgen auf Ausweise und andere Dokumente müssen in aller Regel weitere Dokumente beigefügt und allzu oft biometrische Datensätze mitgegeben werden. Diese hat sich der Täter nach bisherigem Ermittlungsstand nicht aneignen können, sagt die Behörde.

Die ANTS (Agence nationale des titres sécurisés) ist auch als France Titre bekannt. Es handelt sich um eine Abteilung des französischen Innenministeriums. Sie ist zuständig für die Ausstellung von Reisepässen, Personalausweisen, sowie Führerscheinen für Straßenfahrzeuge und Motorboote, sowie für Dokumente über die Zulassung von Kraftfahrzeugen, Aufenthaltstitel, Visa und eine Reihe weiterer Ausweise und Dokumente für Aufenthalte und Grenzübertritte. Gedruckt werden die Papiere allerdings von der Staatsdruckerei (Imprimerie nationale).

Wie der Einbruch in die Datenbank gelungen ist, sagt die ANTS nicht. Das ist offenbar noch Gegenstand der laufenden Untersuchung. Betroffene sind per E-Mail informiert worden. Bestimmte Vorkehrungen empfiehlt das Innenministerium Frankreichs Bürgern nicht, außer, dass sie beim nächsten Login ihr ANTS-Passwort ändern sollen.

(ds)

Angreifer können insgesamt sieben Sicherheitslücken in VMware Tanzu Spring Security ausnutzen und im schlimmsten Fall eigenen Code ausführen. Mittlerweile sind Sicherheitsupdates verfügbar. Auch wenn es bislang keine Hinweise seitens des Softwareherstellers auf Attacken gibt, sollen Admins die Patches zeitnah installieren.

Tanzu Spring Security ist ein Authentifizierungs- und Zugriffskontroll-Framework, um den Umgang mit Spring-basierten Anwendungen so sicher wie möglich zu gestalten. Nun wird es aber selbst zum Sicherheitsrisiko.

Verschiedene Gefahren

Am gefährlichsten gilt einer Warnmeldung zufolge eine „kritische“ Schwachstelle (CVE-2026-22752) im Rahmen der Dynamic Client Registration. Weil Metadatenfelder bei der Registrierung eines neuen Clients nicht ausreichend überprüft werden, können Angreifer dort einen Exploit platzieren. Dafür müssen sie aber bereits über einen gültigen Initial Access Token verfügen. Klappt eine Attacke, können Angreifer einen unter ihrer Kontrolle stehenden Client registrieren und unter anderem im Rahmen einer Stored-XSS-Attacken Schadcode ausführen.

Zwei weitere Lücken sind mit dem Bedrohungsgrad „hoch“ eingestuft (CVE-2026-22754, CVE-2026-22753). Weil Angreifer Anfragen an Pfade, die eigentlich geschützt sein sollten, schicken können, sind Sicherheitsmechanismen umgehbar.

Sicherheitspatches installieren

Die Entwickler versichern, die Sicherheitsprobleme in der Tanzu-Spring-Security-Ausgabe 7.0.5 und Spring Authorization Server 1.3.11, 1.4.10 und 1.5.7 gelöst zu haben.

Weitere Details zu den Softwareschwachstellen und bedrohten und abgesicherten Versionen finden Admins im Sicherheitsbereich der VMware-Tanzu-Website.

(des)