Bitwarden Kommandozeilen-Client trojanisiert

[1lluminate23]

Das Bitwarden-Security-Team bestätigt, dass kurzzeitig eine bösartige Version des Kommandozeilen-Client ausgeliefert wurde.

Quelle: https://www.heise.de/news/Passwortsafe-Bitwarden-Kommandozeilen-Client-trojanisiert-11270435.html

Ich selbst nutze Bitwarden nicht, habe nur eben den Artikel bei Heise gelesen.
Ich poste mal den Thread, weil es euch vlt. betrifft oder ihr mehr Informationen sucht.

 

[JumpingCat]

Zwischen 23:57 Uhr am 22. April und 01:30 Uhr am 23. April deutscher Zeit (17:57 Uhr bis 19:30 Uhr ET) wurde das npm-Paket @bitwarden/cli in der Version 2026.4.0 mit Schadcode ausgeliefert.

Ist vielleicht das wichtigste Detail.

 

[empower]

es gab in den vergangenen jahren verschiedene geschichten von manipulierter open source software. ich will gar nicht wissen, wie viel schadsoftware im umlauf ist. (z. B. XZ Utils Backdoor)

 

[JumpingCat]

@empower Das merkst du relativ einfach weil irgendwie müssen die geklauten Daten nach außen. Spätestens in großen Firmen fällt es sicherlich schnell auf, wenn da ein Produktionsrechner / Azure Build Agent versucht komische Adressen im Internet zu erreichen obwohl die Kiste da nie hin kommunizieren sollte.
Und damit hast du dann die Meldung durch die grossen Firmen. Als Privatperson kannst du "Greylisting" machen indem du nicht ad-hoc jedes Update in den ersten Minuten ziehst.

 

[Aktaion]

Für mich fehlt in dem Heise Artikel, dass nur Nutzer betroffen waren, die sich das über GitHub installiert haben.
Ansonsten war niemand betroffen, auch hätte Heise erwähnen können das ein Angriff auf Checkmarx das ganze vorbereitet hat.