GitHub-Drama 1: Sicherheitsforscher veröffentlicht 0-Day-Schwachstelle

Ein weiterer Sicherheitsforscher hat die koordinierte Offenlegung von Schwachstellen beim Microsoft Security Resource Center (MSRC) übersprungen und eine kritische 1-Klick-GitHub-Schwachstelle öffentlich gemacht. Mit der Schwachstelle in VSCode lassen sich GitHub-Tokens stehlen, und der Entdecker hatte keine Lust mit dem MSRC zu diskutieren.

Einige Vorbemerkungen

Über den Clinch des Microsoft Security Resource Center (MSRC) mit dem Sicherheitsforscher Nightmare Eclipse hatte ich im Blog ausführlicher berichtet (siehe Links am Artikelende). Der in der Sicherheitscommunity entstandene "Flurschaden" ist durch das Verhalten Microsofts, zumindest nach meinem Eindruck, beträchtlich.

Aber jetzt geht es um den von Software-Entwicklern genutzten Dienst GitHub, der aber vor einigen Jahren von Microsoft übernommen wurde. Microsoft hat auch seinen Copiloten mit GitHub verheiratet. Das ist das Hintergrundwissen, was man etwas im Kopf behalten sollte, um nachfolgende Informationen einstufen zu können.

Eine 0-Day-Schwachstelle bei GitHub

Der Sicherheitsforscher Ammar Askar hat festgestellt, dass die in einer Sandbox ausgeführten "Webviews" von VSCode Tastaturereignisse an den Haupteditor weitergeben. Laut nachfolgendem Tweet kann ein, über einen Link geöffnetes bösartiges, Repository Tastenanschläge simulieren, sowie eine lokale Erweiterung installieren, die die Vertrauensprüfung des Herausgebers durch VSCode umgeht, und Token des Entwicklers abgreift.

Es heißt, dass für einen Angreifer bereits das einfache Anklicken eines Links durch den Entwickler reicht, um ein GitHub-Token abzugreifen. Über das GitHub-Token erhält der Angreifer Zugriff auf alle Repositories des Entwicklers und kann dort Änderungen vornehmen (gilt auch für private Repositories).

Der Bug liegt in github[.]dev, dem browserbasierten VSCode-Editor von GitHub. Dieser übermittelt dem Browser ein OAuth-Token übermittelt, dessen Geltungsbereich nicht auf ein einzelnes Repo beschränkt ist. Mit diesem Token kann der Angreifer auf alles zugreifen, worauf auch der Entwickler auch Zugriff habt.

Ammar Askar sagt laut obigem Tweet, dass er diese Sicherheitslücke an das GitHub-Entwicklerteam melden wollte. Der Sicherheitsforscher berichtet, dass GitHub ihm bei der Meldung von github[.]dev-Fehlern mitteilt, er solle sich an MSRC wenden, denn die Fehler lägen außerhalb ihres Zuständigkeitsbereichs.

Das Problem: Ein zuvor von diesem Sicherheitsforscher gemeldeter VSCode-Fehler sei stillschweigend behoben worden, ohne dass diesem dafür Anerkennung gezollt wurde. Ammar Askar wird mit der Aussage "Ich möchte mich wirklich nicht mit dem MSRC wegen VSCode-Fehlern auseinandersetzen." aus einen kurzen Post auf reddit.com mit einer Diskussion zitiert. Ein Kommentator fasste laut obigem Tweet die Stimmung so zusammen: "MSRC hat sich in einen Feedback-Hub verwandelt."

Ein zweiter Tweet enthält noch obige Screenshots, die das Problem verdeutlichen. Der Sicherheitsforscher hat einen funktionierenden Proof-of-Concept veröffentlicht. Ammar Askar weist im Proof-of-Concept darauf hin, dass die Desktop-Version von VS Code unter schwerer auszunutzenden Bedingungen ebenfalls betroffen sein könnte. Er empfiehlt, die Daten der Website http://github[.]dev zu löschen, um das Risiko zu mindern, solange das Problem öffentlich bekannt ist.

Der Sicherheitsforscher hat die Details am 2. Juni 2026 in einem Blog-Post  1-Click GitHub Token Stealing via a VSCode Bug veröffentlicht.

Weiterer Sicherheitsforscher auf GitHub gesperrt

Noch ein kleiner Nachtrag, der mir die Nacht auf X untergekommen ist, den ich "for the Records" mal mit aufnehme. Nicht nur Nightmare Eclipse wurde das GitHub-Konto gesperrt. Ein zweiter Sicherheitsforscher hat laut nachfolgendem Tweet das gleiche Problem.

Der Malware-Forscher @5mukx hat es auf X in einer Reihe Tweet dokumentiert. Jemand hat auf GitHub unter dem Konto Whitecat18 ein Tool RustyPacker für Sicherheitsforscher veröffentlicht. Der Ablauf:

• Er hat neue Funktionen hinzugefügt und über 10 IoCs sowie schwerwiegende Fehler behoben
• Dann hat er dies alles in sein GitHub-Repo hochgeladen, und wurde sofort von GitHub mit einem Shadow-Ban belegt, d.h. der Inhalt wurde gesperrt.

Der Malware-Forscher @5mukx schreibt: "So werden Sicherheitsforscher behandelt". Hier hat wohl ein automatischer Filter zugeschlagen, der das Tool nicht von Malware und Shell-Code unterscheiden kann. Ist zwar ein etwas anderer Fall als bei Nightmare Eclipse, zeigt aber, das Risiko.

Artikelreihe:
GitHub-Drama 1: Sicherheitsforscher veröffentlicht 0-Day-Schwachstelle
GitHub-Drama 2: Kostenexplosion bei Copilot seit 1. Juni 2026

Ähnliche Artikel:
BlueHammer: Windows 0-day-Schwachstelle
BlueHammer-Nachlese: Defender-Patch vom 14.4.2026 und Analyse von Fortra
RedSun: Nächste Windows Defender 0-Day-Schwachstelle
Chaotic Eclipse zwei 0-Day-Windows Schwachstellen (YellowKey, GreenPlasma), eine in MS Teams
Nightmare Eclipse veröffentlicht MiniPlasma-Schwachstelle CVE-2020-17103
Zoff und Schwarze-Peter-Spiel zwischen 'Microslop' und Chaotic Eclipse
Nightmare Eclipse auf GitLab gebannt; Microsoft nimmt Stellung
Microsoft versus Nightmare Eclipse: Wir haben jetzt "Bitskrieg"
Neues im Nightmare Eclipse-Clash: Microsoft rudert ein wenig zurück