Bosch Supply Chain Hack: GitHub-Token in App gefährdet 500+ Unternehmen

Was wurde gefunden?

In einer öffentlich auf Google Play verfügbaren Bosch-App wurde ein GitHub Personal Access Token (PAT) im App-Binary identifiziert. Dieses Token ermöglicht potenziell Zugriff auf:

• Source-Code-Repositories des Drittanbieter-Plattformanbieters
• CI/CD-Build-Pipelines — Möglichkeit, Schadcode in den Build-Prozess einzuschleusen
• Deployment-Infrastruktur — Apps werden an alle 500+ Kundenunternehmen verteilt

Zusätzlich wurden hartcodierte CI/CD-Zugangsdaten in weiteren APKs gefunden — Build-Pipeline-Kompromittierung über mehrere Vektoren möglich.

Warum ist das kritisch?

Ein Software Supply Chain Angriff ist einer der gefährlichsten Angriffsvektoren der modernen Cybersicherheit. Prominente Beispiele:

• SolarWinds (2020) — 18.000 Organisationen kompromittiert über manipuliertes Update
• Codecov (2021) — CI/CD-Credentials exfiltriert, hunderte Unternehmen betroffen
• 3CX (2023) — Supply Chain Angriff über kompromittierte Desktop-App

Das in der Bosch-App gefundene GitHub-Token bietet einen vergleichbaren Angriffsvektor: Ein einziger kompromittierter Schlüssel kann kaskadierende Auswirkungen auf hunderte Organisationen haben.

Häufig gestellte Fragen

Ist mein Unternehmen betroffen?
Wenn Ihr Unternehmen die betroffene Mitarbeiterkommunikations-Plattform nutzt, besteht ein potenzielles Risiko. Kontaktieren Sie Ihren Plattformanbieter für eine Stellungnahme.

Was sollte Bosch tun?
Sofortige Rotation des GitHub-Tokens, Audit der Build-Pipeline auf unautorisierte Änderungen, Benachrichtigung aller betroffenen Downstream-Kunden.