Supply-Chain-Attacke: Polyfill.io verteilt Schadcode über CDN

Sie befinden sich: Home > News Archiv > Webmaster > Supply-Chain-Attacke...

Mehrere Sicherheitsforscher warnen vor einer aktiven Bedrohung durch das Content Delivery Network von Polyfill.io. Über 100.000 Websites weltweit sind betroffen und Google sperrt bereits Werbung von Seiten, die Schadcode über Polyfill.io einbinden.

Eine Supply-Chain-Attacke hat in den letzten Tagen zahlreiche Websites getroffen, die das Content Delivery Network (CDN) cdn.polyfill.io verwenden. Polyfills sind essenziell im Web, um Inhalte auf älteren Browsern auszuführen, die moderne Funktionen nicht unterstützen. Sie bilden nicht unterstützte APIs ab, sodass die Anwendung so gut wie möglich im Browser läuft. Das Ziel des Polyfill.io-Projekts ist es, die Einbindung zu vereinfachen, indem es die für den jeweiligen Browser benötigten Polyfills bereitstellt.

Hintergründe zur Supply-Chain-Attacke

Supply-Chain-Attacken, auch als Lieferkettenangriffe bekannt, zielen darauf ab, Schwachstellen in der Lieferkette eines Unternehmens auszunutzen, um Schadcode in legitime Software einzuschleusen. In diesem Fall hat die Attacke Websites getroffen, die auf das CDN von Polyfill.io angewiesen sind. Laut Berichten von Sicherheitsforschern sind über 100.000 Websites weltweit betroffen. Diese Websites haben unwissentlich Schadcode integriert, der über das CDN von Polyfill.io verteilt wird.

Was sind Polyfills?

Polyfills sind JavaScript-Bibliotheken, die fehlende Funktionen in älteren Browsern emulieren. Sie ermöglichen es Entwicklern, moderne Webtechnologien zu nutzen, ohne sich um die Unterstützung älterer Browser kümmern zu müssen. Polyfill.io ist ein beliebter Dienst, der die benötigten Polyfills basierend auf den Fähigkeiten des Browsers des Benutzers bereitstellt. Dies vereinfacht die Entwicklung und sorgt dafür, dass Websites in möglichst vielen Browsern korrekt funktionieren.

Erste Warnungen und Reaktionen

Im Februar dieses Jahres wurde die Site Polyfill.io von der chinesischen Firma Funnull übernommen. Zuvor wurde die Site von der Financial Times unterstützt. Der Betreiber des Polyfill-Projekts, Andrew Betts, der bei Fastly arbeitet, hatte bereits im Februar auf X (ehemals Twitter) dazu aufgerufen, Abhängigkeiten zu polyfill.io umgehend zu entfernen. Seinerzeit gab es Diskussionen in einem Issue des zugehörigen GitHub-Projekts, der inzwischen gelöscht wurde, aber noch auf der Wayback-Machine web.archive.org einsehbar ist.

Cloudflare und Fastly reagierten prompt auf die Übernahme. Cloudflare warnte Ende Februar in seinem Firmen-Blog vor Risiken für die Software Supply Chain und richtete einen alternativen CDN-Endpunkt ein. Auch Fastly bot Alternativen für Nutzer von Polyfill.io an. Diese Maßnahmen zielten darauf ab, die Sicherheit und Integrität der Software-Supply-Chain zu gewährleisten.

Schadcode-Analyse und Verbreitung

Der Schadcode, der über cdn.polyfill.io verteilt wird, ist besonders heimtückisch. Er wird nur unter bestimmten Bedingungen aktiviert, um einer schnellen Entdeckung zu entgehen. Laut dem Blog des JavaScript-Security-Anbieters c/side ist der Schadcode in den HTTP-Headern versteckt und wird nur auf bestimmten mobilen Geräten aktiv. Der Code ist nicht nur verschleiert, sondern setzt auch auf verzögerte Ausführung und andere Techniken, um unentdeckt zu bleiben.

Der Security-Scanner-Anbieter Sansec hat ebenfalls vor der Polyfill-Supply-Chain-Attacke gewarnt. Laut Sansec blockt Google bereits Google-Ads von Websites, die Polyfill.io einbinden. Der Beitrag von Sansec zeigt auch Teile des Schadcodes, der eine Fake-Google-Analytics-Domäne verwendet und mobile Nutzer auf eine Website für Sportwetten umleitet.

Maßnahmen und Empfehlungen

Wer Abhängigkeiten zur Domain polyfill.io in seiner Webanwendung hat, muss diese umgehend entfernen. Das Open-Source-Projekt selbst ist nicht betroffen, sondern nur die Site Polyfill.io. Alternativen zum CDN von Polyfill.io stehen bereits seit Februar zur Verfügung. Sowohl Fastly als auch Cloudflare bieten entsprechende Lösungen an, die genutzt werden sollten, um die Integrität der eigenen Website zu gewährleisten.

Es ist wichtig, dass Webentwickler und Site-Betreiber regelmäßig ihre Abhängigkeiten überprüfen und sicherstellen, dass sie nur vertrauenswürdige Quellen verwenden. Die aktuelle Situation zeigt einmal mehr, wie wichtig es ist, wachsam zu bleiben und auf aktuelle Bedrohungen schnell zu reagieren.

Haben Sie Erfahrungen mit der Nutzung von Polyfill.io gemacht? Wie gehen Sie mit der aktuellen Bedrohung um? Teilen Sie Ihre Gedanken und Erfahrungen in den Kommentaren unten!

google weltweit bereits sperrt attacke

Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.

Neusten News in der Kategorie "Webmaster"

• Token-Explosion: So ruinieren MCP-Server Ihren Coding-Workfl... MCP-Server wirken wie clevere Helfer, doch sie können Ihren KI-Co...

• Neue Hürden für Entwickler: So meistern Sie den raueren Arbe... Die Suche nach Programmierjobs wird zur Herausforderung. Automatisieru...

• FAIR ersetzt WordPress.org-API mehr Kontrolle für Entwickle... Die Linux Foundation startet mit FAIR einen neuen, dezentralen Paketma...

• GitHub-Sicherheitslücke: Private und gelöschte Repos bleiben... GitHub hat ein erhebliches Sicherheitsproblem: Gelöschte und private R...

• Barrierefreiheitsstärkungsgesetz: Website-Sperrung für Firme... Unternehmen in Deutschland stehen unter enormem Druck: Bis Juni 2025 m...

• Kritische PHP-Schwachstelle unter Windows entdeckt PHP-Entwickler haben ein neues Sicherheitsupdate veröffentlicht, ...

• Ab Juli: Google indexiert nur noch mobilfähige Websites Eigentlich schien Googles Mobile-First-Offensive abgeschlossen. Aber d...

• Gitlab warnt vor Account-Ãœbernahmen durch XSS-Schwachstelle Gitlab hat eine schwerwiegende Sicherheitslücke in mehreren Versionen ...

• Bing stellt vor: Top Insights für maximale Website-Performan... Mit den neuen Top Insights von Bing Webmaster Tools optimieren Sie Ihr...

• Neue Google-Updates: Weniger Spam und hochwertigere Sucherge... Google kündigt wesentliche Änderungen an, um die Qualität der Sucherge...