🛡️ Der letzte Angriff auf das #Node / #NPM Ökosystem betrifft mittlerweile über 500 Node Packages. Basierend auf #mani hier ein kleines Open Source Projekt zum Finden kompromittierter Dependencies in euren Repos. codeberg.org/reneoelke/fi... #security #development #shaihulud

find-compromised-dependencies

find-compromised-packages

codeberg.org

🗓️ Vom 14. bis 15. Mai findet wieder die wichtigste Konferenz Deutschlands für uns freiberuflich Selbständige statt, die Freelance Unlocked 2025. Besonders spannend finde ich The Unconference am 2. Tag (Donnerstag, 15. Mai). Freu mich auf die Themen und Community. #freelanceunlocked #fun25

ebay ändert seine AGBs, u.a. mit einer default aktivierten Option "Verwendung personenbezogener Daten für die Entwicklung und das Training von KI". Schaut am besten mal selbst in euren Kontoeinstellungen (accountsettings.ebay.de/ai-preferences), wo ihr die Option deaktivieren könnt. ✅

Thema Frontend Security (CSP, CORS, HSTS etc.). Kennt ihr schon das @mozilla.org HTTP Observatory (developer.mozilla.org/en-US/observ...)? Sehr nützliches Tool! Damit könnt ihr eure Seiten scannen und konkrete Lösungshinweise umsetzen (inkl. Verlinkung zu technischen Details).

HTTP Header Security Test - HTTP Observatory | MDN

Test your site’s HTTP headers, including CSP and HSTS, to find security problems and get actionable recommendations to make your website more secure. Test other websites to see how you compare.

developer.mozilla.org

🔥 Achtung Chrome-Windows-Anwender, schnell updaten! Betrifft alle Chromium-basierten Browser (Edge, Brave …). Die kritischen Sicherheitsprobleme mit Chrome (und Chromium-Browsern) und Windows häufen sich. Denkt über Alternativen nach (Firefox, Linux, macOS). 🤔 www.heise.de/news/Jetzt-u...

Jetzt updaten! Zero-Day-Sicherheitslücke in Chrome wird angegriffen

Google hat dem Webbrowser Chrome ein Update spendiert. Es schließt eine Zero-Day-Lücke, die bereits angegriffen wird.

heise.de

Docker Hub reduziert weiter die freien, anonymen Pull Limits. Das hat Auswirkungen auf eure Pipelines. Bevor es Probleme gibt, solltet ihr handeln.

heise Developer@heisedeveloper.bsky.social · last yr.

Docker Hub erlaubt nicht authentifizierten Benutzern ab April nur noch zehn Pulls pro Stunde. Auch Personal-Konten und abhängige Dienste werden eingeschränkt. #Docker

Ingress-nginx CVE-2025-1974: What You Need to Know-

Ingress-nginx CVE-2025-1974: What You Need to Know

Today, the ingress-nginx maintainers have released patches for a batch of critical vulnerabilities that could make it easy for attackers to take over your Kubernetes cluster. If you are among the over...

kubernetes.io

🛡️ Na dann mal fix aktualisieren! #IngressNightmare kubernetes.io/blog/2025/03...

Tolle Deep Dive Folge der @programmier.bar zum Thema #Codeberg! Auf geht's. Account erstellt. Hallo #Codeberg! www.programmier.bar/podcast/deep...

Deep Dive 174 – Codeberg mit Andreas Shi... | programmier.bar

Quasi alle Entwickler:innen da draußen nutzen Code-Versionierungssysteme. Alle haben einen GitHub-Account – manche nutzen Alternativen wie GitLab od...

programmier.bar

Angriffe auf die Supply Chain der Software-Entwicklung sind vielfältig und hochgradig kritisch. Hier ein aktuelles Beispiel, um per komprimierter GitHub Action an Secrets fremder Pipelines zu gelangen. Betroffene sollten trotz Mitigation ihre Buildlogs checken. www.heise.de/news/Attacke...

Attacke über GitHub-Action-Tool spähte Secrets aus und legte sie in Logdatei ab

Das Open-Source-Tool tjactions/changed-files hat im CI-Prozess mit GitHub Actions nach sensiblen Informationen gesucht und sie im Build-Log gespeichert.

heise.de

Vorsicht bei Online-Dateikonvertern! Eigentlich braucht es derartige Warnungen nicht mehr, sollte man meinen. Anscheinend ist es immer noch ein lohnendes Geschäft. Virenscanner helfen wenig weiter. Die beste Empfehlung ist: Nutzt keine derartigen Angebote! www.heise.de/news/Malware...

FBI-Warnung: Betrügerische Online-Dateikonverter schleusen Trojaner in Dokumente

Wer kostenlose Onlinedienste zum Umwandeln von etwa Textdateien nutzt, kann sich Malware einfangen. Darauf weist das FBI hin.

heise.de

Als ich noch Keepass genutzt habe, war mir eine gute und vertrauenswürdige App sehr wichtig. Mit Strongbox hatte ich auch geliebäugelt. Nun wird Strongbox verkauft, was einige User wohl recht bedenklich finden. 1/2 www.heise.de/news/Keepass...

Keepass-Client Strongbox aufgekauft – Nutzer beunruhigt

Der beliebte Keepass-Client für Apple-Geräte gehört nun einem Entwickler-Team, dessen vorherige Einkäufe erhebliche Kritik wie Verunsicherung auslösten.

heise.de

Da könnte ein größeres Security-Problem draus werden. Diese ESP32-Chips sind massenhaft in diversen Geräten verbaut. Wäre toll, wenn es irgendwann eine Liste mit möglichen betroffenen Produkten gäbe. heise.de/-10309527

Undokumentierte Befehle reißen Sicherheitsleck in Bluetooth von ESP32

Berichte über undokumentierte Bluetooth-HCI-Befehle von ESP32-Chips machen die Runde. Sie reißen eine Sicherheitslücke auf.

heise.de

Stoppt die #Scheinselbstständigkeit! Fehlende Rechtssicherheit schadet der Wirtschaft: Selbstständige geben auf oder wandern ab, Unternehmen finden keine Fachkräfte. Wir fordern klare Regeln für stabile Rahmenbedingungen! #Freelancer

Stoppt die Scheinselbstständigkeit!

Unsichere Regeln gefährden Freelancer und Unternehmen. Wir fordern klare Kriterien, Wahlfreiheit und praxisgerechte Lösungen: Wir machen es Dir einfach, was zu ändern: In nur 2 Minuten Brief an deine…

stoppt-scheinselbststaendigkeit.de

LLMs bieten so unfassbar viele und flexible Angriffsmöglichkeiten, dass die Ausmaße heute noch gar nicht abzuschätzen sind. Danke an die @programmier.bar für diesen wertvollen Deep Dive.

programmier.bar - der podcast für web & mobile dev@programmier.bar · last yr.

Kann man einem Chatbot geheime Infos entlocken? Oder interessiert euch, wie ihr das LLM-Feature eurer App besser absichern könnt? In unserem Deep Dive mit Georg Dresler über Prompt Injection sprechen wir über die größten Schwachstellen in KI-Systemen: www.programmier.bar/podcast/deep...

Es wird immer schwieriger, bösartige Repos von nützlichen zu unterscheiden. Mit Hilfe von KI scheinen Angreifer eine sehr effektive Methode gefunden zu haben. Daher gilt heutzutage um so mehr: Nehmt euch Zeit bei der Prüfung der Repos, die ihr nutzen wollt. 🧐 www.heise.de/news/Boesart...

Bösartiger Code in 200 GitHub-Repositories stiehlt knapp 500.000 Euro

Eine Malware-Kampagne in GitHub-Repositories hat es auf Bankdaten und Bitcoin-Wallets abgesehen. Der Schadcode wird oft erst zur Build-Zeit ausgeführt.

heise.de

VSCode extensions with 9 million installs pulled over security risks

Linus würde im Falle von Rust-Code von seiner "Richtlinienkompetenz" Gebrauch machen. 💪 www.heise.de/news/Linus-T...

Linus Torvalds würde Maintainer-Veto zu Rust-Kernel-Code übergehen

Der Begründer des Linux-Kernels will Betreuer des Linux-Kernel-Codes übergehen, die sich gegen Rust-Unterstützung in ihrem Subsystem sträuben.

heise.de

In der aktuellen OpenSSH-Version haben die Entwickler zwei Schwachstellen geschlossen. Attacken sind aber an bestimmte Voraussetzungen gebunden. #Security

Sicherheitsupdate OpenSSH: Angreifer können sich in Verbindungen einklinken

In der aktuellen OpenSSH-Version haben die Entwickler zwei Schwachstellen geschlossen. Attacken sind aber an bestimmte Voraussetzungen gebunden.

heise.de

I like #AsciiDoc. The adoc Studio also makes a very good impression. Would be nice if it were available in #SetApp at some point.

Tower@git-tower.com · 2y ago

Have you heard of AsciiDoc? Some refer to it as "Markdown on Steroids" 💪 Marvin from ProjectWizards wrote an excellent guest post that demonstrates how AsciiDoc combines simplicity with advanced features. Check it out! www.git-tower.com/blog/asciido...

Git Worktrees, sehr nützliches Feature! Habe ich bisher nie wirklich genutzt (vermutlich, weil ich Git seit Tower immer weniger im Terminal nutze 🤫). Falls jemand aktiv mit Git Worktrees arbeitet, bin ich an nützlichen Infos und Erfahrungen interessiert.

Tower@git-tower.com · last yr.

BTW: Tower for Mac 12.5 introduces Git Worktree support, making worktree management as simple as a couple of clicks! Learn all about it 👉 www.git-tower.com/blog/tower-...

Über eine unsichere Deserialisierung konnten Angreifer auf Wazuh-Servern eigenen Code aus der Ferne ausführen. Der Angriff gelang auch über gekaperte Agenten. #Security

Opensource-Sicherheitsplattform: Kritische Lücke in Wazuh erlaubte Codeschmuggel

Über eine unsichere Deserialisierung konnten Angreifer auf Wazuh-Servern eigenen Code aus der Ferne ausführen. Der Angriff gelang auch über gekaperte Agenten.

heise.de

Wie hält man sich als Open Source Maintainer an Sanktionsregeln? Wie schützt man sich vor rechtlichen Problemen? Wichtiges, aber auch schwieriges Thema. Open Source Engagement wird dadurch nicht einfacher und attraktiver. Guter Support ist nötig. socket.dev/blog/linux-f...

Linux Foundation Warns Open Source Developers: Compliance wi...

The Linux Foundation is warning open source developers that compliance with global sanctions is mandatory, highlighting legal risks and restrictions o...

socket.dev

Solche Szenarien klangen bis vor Kurzem noch utopisch bzw. überzogen. Wir sollten handeln. Jetzt! Es gibt europäische Alternativen zu US-Diensten, siehe european-alternatives.eu

Homepage | European Alternatives

We help you find European alternatives for digital service and products, like cloud services and SaaS products.

european-alternatives.eu

Jean Peters@jea.bsky.social · last yr.

1/ Die USA erleben einen rasanten Umbau des Staates. Viele nennen es einen Coup. Musk bekommt Zugang zu sensiblen Daten, vermutlich nicht mal verfassungskonform. Auch unsere Demokratie ist damit gefährdet. Der Grund heißt CLOUD Act. Ein Thread.

🛡️ Sehr interessante Folge zum ersten Linux-Bootkit. Spoiler: Es waren keine bösartigen Hacker. Offene Fragen: Sind Logo-Bilder im UEFI wirklich ein sinnvolles Feature (besonders im BMP-Format)? Warum hat Microsoft so viel Entscheidungsgewalt in Sachen UEFI? #security #linux

"Passwort" Folge 23: Schnitzeljagd um ein Linux-Bootkit

Sicherheitsforscher finden zufällig die Malware "Bootkitty" und analysieren sie. Was kann sie und wer steckt dahinter? Christopher und Sylvester rätseln mit.

heise.de

heise Security@heisec.bsky.social · 2y ago

Sicherheitsforscher finden zufällig die Malware "Bootkitty" und analysieren sie. Was kann sie und wer steckt dahinter? Christopher und Sylvester rätseln mit. #Security

Eine sehr sinnvolle Entscheidung. Ich hoffe, die Desktop- und CLI-Apps werden auch bald nativ umgesetzt. Aktuell ist noch zu viel Electron, TypeScript und Node.js vorhanden. Das ist für einen Passwortmanager ein zu hohes Sicherheitsrisiko. Siehe vulnerable npm-Pakete.

heise Security@heisec.bsky.social · 2y ago

Der Passwort-Manager Bitwarden ist unter Android nun als native App umgesetzt. Das soll ihn beschleunigen und besser integrieren. #Security

Sicherheitsforscher warnen vor möglichen Attacken auf Voyager. Bislang haben sich die Entwickler zu den Sicherheitslücken nicht geäußert. #Security

Warten auf Patch: Das Admin-Interface Voyager für Laravel-Apps ist verwundbar

Sicherheitsforscher warnen vor möglichen Attacken auf Voyager. Bislang haben sich die Entwickler zu den Sicherheitslücken nicht geäußert.

heise.de

Ich würde den Tag eher „Password Awareness Day“ nennen. Bei der heutzutage üblichen Menge an Accounts wäre man stundenlang mit dem Ändern der Passwörter beschäftigt. Nutzt Passwort Manager (mit Hardware- oder biometrischen Token), MFA und Passkeys. Und ändert die Passwörter nur, wenn es nötig ist.

heiseonline@heise.de · 2y ago

Der heutige "Ändere dein Passwort-Tag" ist vielleicht gut gemeint, aber IT-Experten sind sich einig, dass er sogar kontraproduktiv sein kann. 🤔 Häufige Passwort-Wechsel führen oft dazu, dass Nutzer einfach merkbare (und somit leicht zu knackende) Passwörter wählen.

Es geht weiter mit Lizenz-Änderungen im Open Source Bereich. Good bye #Semgrep. 👎Welcome #Opengrep. 👍 www.endorlabs.com/learn/everyt...

Everything You Need to Know About Opengrep | Blog | Endor Labs

Opengrep is a fork of Semgrep's open source static code analysis engine. Learn about the benefits and how you can contribute.

endorlabs.com