elementary-data kompromittiert: Script-Injection-Schwachstelle aktiv ausgenutzt
KI-generiert mit ChatGPT
Das beliebte Python-Paket elementary-data wurde am 24. April 2026 kompromittiert. Angreifer veröffentlichten die manipulierte Version 0.23.3 auf PyPI und in der GitHub Container Registry. Das Werkzeug zur dbt-Datenobservierbarkeit kommt laut StepSecurity auf rund 1,1 Millionen monatliche Downloads. Der Schaden ist entsprechend groß.
Wie der Angriff funktionierte
Die Angreifer benötigten keine gestohlenen Zugangsdaten. Stattdessen nutzten sie eine Script-Injection-Schwachstelle in einem GitHub-Actions-Workflow. Eine präparierte Kommentarzeile in einem Pull Request landete als Shell-Code im Runner. Mit dem abgegriffenen GITHUB_TOKEN erzeugten die Angreifer einen Orphan-Commit, den sie als Tag v0.23.3 markierten. Anschließend wurde der reguläre Release-Workflow gestartet.
Innerhalb von etwa zehn Minuten lag das Schadpaket auf PyPI. Vier Minuten später folgte ein manipuliertes Docker-Image auf der GitHub Container Registry. Snyk dokumentierte den genauen Ablauf. Um 22:10 UTC postete der Angreifer den Kommentar. Um 22:20 UTC war elementary-data 0.23.3 live auf PyPI.
AnzeigeSchadlogik in der elementary.pth-Datei
Die Schadfunktion steckte in der Datei elementary.pth. Python verarbeitet .pth-Dateien automatisch beim Interpreter-Start. Die Malware aktivierte sich also bei jeder Python-Ausführung im betroffenen System.
Der Stealer durchsuchte das System nach SSH-Schlüsseln, AWS-, GCP- und Azure-Credentials, Kubernetes-Token, Docker-Konfigurationen und Kryptowallets. Auch dbt-Profile und .env-Dateien standen auf der Zielliste. Die gestohlenen Daten gingen an einen externen C2-Server.
Was Anwender jetzt tun müssen
Die Maintainer reagierten nach der Meldung durch die Community-Mitglieder crisperik und H-Max innerhalb weniger Stunden. Die saubere Version 0.23.4 erschien am 25. April. Wer 0.23.3 installiert hatte, muss alle erreichbaren Zugangsdaten rotieren und das Paket neu installieren.
Der Fall reiht sich in eine Serie ähnlicher Angriffe ein. Wir haben den Supply-Chain-Angriff auf LiteLLM bereits ausführlich analysiert. Auch dort führte eine Lücke in der CI-Pipeline zum kompromittierten PyPI-Paket.
Wer GitHub Actions einsetzt, sollte Berechtigungen auf das Notwendigste reduzieren. Pull-Request-Kommentare gehören niemals als Code-Quelle in einen Workflow. Ein zusätzlicher Schutz ist Trusted Publishers von PyPI mit kurzlebigen OIDC-Token.
Die Parallelen zu früheren Vorfällen sind deutlich. Auch der Fall, in dem CI/CD-Pipelines zum Einfallstor wurden, zeigt das gleiche Muster. Die Tooling-Frage ist hier zweitrangig. Entscheidend bleibt die Konfiguration der Berechtigungen.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
