Mastodawn

JFrog entdeckt 13 Schwachstellen in GitHub-Repositorys

Die gemeldeten Ergebnisse tragen dazu bei, die globale Technologie-Infrastruktur mit Milliarden von Nutzern besser vor Angriffen auf CI/CD-Workflows im Stil von „Shai-Hulud“ zu schützen.

https://www.all-about-security.de/jfrog-entdeckt-13-schwachstellen-in-github-repositorys/

#shaihulud #GitHub

JFrog entdeckt 13 Schwachstellen in GitHub-Repositorys

Die gemeldeten Ergebnisse tragen dazu bei, die globale Technologie-Infrastruktur mit Milliarden von Nutzern besser vor Angriffen auf CI/CD-Workflows im Stil von „Shai-Hulud“ zu schützen. JFrog, das Liquid-Software-Unternehmen und Entwickler der JFrog Software Supply Chain Plattform, gibt die Entdeckung von 13 Schwachstellen, darunter 10 kritische, in CI/CD-Workflows innerhalb bekannter GitHub-Repositorys durch seine seine Sicherheitsforscher, bekannt. Diese wurden mit JFrogs RepoHunter entdeckt, einem KI-Sicherheitssbot, der zur Erkennung von Schwachstellen in CI/CD-Workflows entwickelt wurde.

All About Security Das Online-Magazin zu Cybersecurity (Cybersicherheit). Ransomware, Phishing, IT-Sicherheit, Netzwerksicherheit, KI, Threats, DDoS, Identity & Access, Plattformsicherheit

Marcel SIneM(S)US Mar 1

Lieferketten-Wurm 🪱 mit eigenem #MCP-Server verbreitet sich über #GitHub | Developer https://www.heise.de/news/Lieferketten-Wurm-mit-eigenem-MCP-Server-verbreitet-sich-ueber-GitHub-11190554.html #git

#ShaiHulud #malware #InfoStealer

Lieferketten-Wurm mit eigenem MCP-Server verbreitet sich über GitHub

Im npm-Ökosystem kursiert eine neue Malware, die Anmeldedaten und CI-Secrets stiehlt und sich selbstständig weiterverbreitet.

heise online

heise online English Feb 26

Supply chain worm with its own MCP server spreads via GitHub

A new malware is circulating in the npm ecosystem, stealing credentials and CI secrets and spreading autonomously.

https://www.heise.de/en/news/Supply-chain-worm-with-its-own-MCP-server-spreads-via-GitHub-11190731.html?wt_mc=sm.red.ho.mastodon.mastodon.md_beitraege.md_beitraege&utm_source=mastodon

#Developer #GitHub #IT #Malware #ShaiHulud #Softwareentwicklung #news

Supply chain worm with its own MCP server spreads via GitHub

A new malware is circulating in the npm ecosystem, stealing credentials and CI secrets and spreading autonomously.

heise online

heise Developer Feb 26

Lieferketten-Wurm mit eigenem MCP-Server verbreitet sich über GitHub

Im npm-Ökosystem kursiert eine neue Malware, die Anmeldedaten und CI-Secrets stiehlt und sich selbstständig weiterverbreitet.

https://www.heise.de/news/Lieferketten-Wurm-mit-eigenem-MCP-Server-verbreitet-sich-ueber-GitHub-11190554.html?wt_mc=sm.red.ho.mastodon.mastodon.md_beitraege.md_beitraege&utm_source=mastodon

#Developer #GitHub #IT #Malware #ShaiHulud #Softwareentwicklung #news

Lieferketten-Wurm mit eigenem MCP-Server verbreitet sich über GitHub

Im npm-Ökosystem kursiert eine neue Malware, die Anmeldedaten und CI-Secrets stiehlt und sich selbstständig weiterverbreitet.

heise online

JAVAPRO Feb 10

The #ShaiHulud worm turned trust into a weapon—compromising tokens, hijacking pipelines, & auto-publishing malware. @spoole167 explains why modern attackers aim for ecosystems, not endpoints.

Read: https://javapro.io/2025/10/02/the-shai-hulud-npm-worm-when-supply-chains-bite-back/

#CI/CD #DevSecOps #SupplyChainSecurity #JAVAPRO #DevOps

Paul J Stevens Jan 31

RE: https://social.troll.academy/@mushu/115937976404644181

The mono-culture that is growing from the combination of vscode/codium + nodejs + github comes with all the expected side effects. #Shaihulud was just the beginning, with below story illustrating the same vector.

Locking down all developer machines using tools from the same corporate overlords (hi Intune) somehow feels like the antivirus graft from like 20+ years ago in the windows hell scape.

The Cyber Unc Jan 27

Unplugged holes in the npm and yarn package managers could let attackers bypass defenses against Shai-Hulud https://www.csoonline.com/article/4122436/unplugged-holes-in-the-npm-and-yarn-package-managers-could-let-attackers-bypass-defenses-against-shai-hulud-2.html

#npm #shaihulud #cybersecurity

Unplugged holes in the npm and yarn package managers could let attackers bypass defenses against Shai-Hulud

A researcher at Koi Security says the two key platforms have not plugged the vulnerabilities enabling the worm attacks, and ‘the JavaScript ecosystem deserves better.’

CSO Online

The New Oil Jan 27

Hackers can bypass #npm’s #ShaiHulud defenses via #Git dependencies

https://www.bleepingcomputer.com/news/security/hackers-can-bypass-npms-shai-hulud-defenses-via-git-dependencies/

#cybersecurity

Hackers can bypass npm’s Shai-Hulud defenses via Git dependencies

The defense mechanisms that NPM introduced after the 'Shai-Hulud' supply-chain attacks have weaknesses that allow threat actors to bypass them via Git dependencies.

BleepingComputer