Angriff auf die Lieferkette von Brevo betrifft über 100.000 Websites

Brevo, eine französische Marketing- und Kommunikationsplattform, die zuvor als Sendinblue bekannt war, ist Opfer eines Angriffs auf die Lieferkette geworden, von dem möglicherweise mehr als 100.000 Websites betroffen waren. Am 10. September sollen die Angreifer eine Schwachstelle im SAML-SSO-System ausgenutzt haben, wodurch sie auf 138 Konten zugreifen, Kontakte aus 43 davon exportieren und sechs für Phishing-Kampagnen nutzen konnten. Vier Tage später kehrten sie über einen langlebigen Cloudflare-API-Schlüssel zurück, der über vollständige Berechtigungen verfügte und im Quellcode der Anwendung gespeichert war. Der Schlüssel ermöglichte es, Worker, Routen und DNS-Einträge zu erstellen und Schadcode in die Websites von Brevo sowie in drei JavaScript-Dateien einzuschleusen, die in die Websites von Kunden eingebettet waren. Der Vorfall zeigt, wie eine einzelne privilegierte Zugangsinformation eines SaaS-Anbieters eine interne Kompromittierung in einen groß angelegten Angriff auf nachgelagerte Organisationen verwandeln kann.

Quelle: Security Affairs