maxanoo
Menü

Polyfill.io: Supply-Chain-Angriff auf über 100.000 Websites

Über cdn.polyfill.io wurde im Juni 2024 Schadcode an Besucher von über 100.000 Websites ausgeliefert. Was passiert ist und wie Sie Shop und Website darauf prüfen.

Veröffentlicht Aktualisiert 2 Min. Lesezeit von Allgemein
Kette mit gebrochenem Glied: Supply-Chain-Angriff über polyfill.js

Viele Websites binden die JavaScript-Bibliothek Polyfill direkt von cdn.polyfill.io ein. Im Februar 2024 wurden die Domain und das zugehörige GitHub-Konto an das Unternehmen Funnull verkauft. Ende Juni 2024 berichtete Sansec, dass über diese Domain Schadcode ausgeliefert wird. Betroffen waren nach dieser Schätzung über 100.000 Websites.

Was Polyfill ist

Ein Polyfill rüstet in älteren Browsern Funktionen nach, die moderne Browser von Haus aus können. Der Dienst polyfill.io lieferte je nach Browser passende Skripte aus und war deshalb bequem einzubinden. Genau das wurde zum Problem: Wer ein Skript von einer fremden Domain lädt, führt aus, was der Betreiber dieser Domain gerade ausliefert.

Was passiert ist

Der Schadcode wurde nur bestimmten Besuchern ausgeliefert, vor allem auf Mobilgeräten, und leitete sie auf fremde Seiten um. Grundsätzlich hätte der neue Betreiber auf diesem Weg auch Eingaben im Browser mitlesen können, etwa Passwörter oder Zahlungsdaten. Der Registrar hat die Domain am 27. Juni 2024 abgeschaltet. Cloudflare und Fastly bieten unbedenkliche Kopien der Bibliothek an.

Sind Magento-Shops betroffen?

Magento bringt seine Polyfills selbst mit und lädt sie nicht von polyfill.io. Themes, Erweiterungen oder nachträglich eingefügte Skripte können die Domain aber trotzdem einbinden. Das sollten Sie prüfen:

  1. Code von Theme und Erweiterungen nach polyfill.io durchsuchen
  2. In der Datenbank suchen: Design-Konfiguration (Zusätzliche Skripte im HTML-Kopf und -Fuß), CMS-Blöcke und -Seiten
  3. Fundstellen entfernen, wenn der Polyfill nicht mehr gebraucht wird; sonst die Datei selbst hosten oder auf cdnjs.cloudflare.com/polyfill bzw. polyfill-fastly.io umstellen

Was man daraus lernen kann

Jedes Skript von einer fremden Domain ist eine Abhängigkeit, die man nicht kontrolliert. Ich binde deshalb so wenig wie möglich extern ein und hoste benötigte Bibliotheken selbst. Eine Content Security Policy hilft zusätzlich, unerwartete Skripte zu bemerken.

Wenn ich Ihren Shop oder Ihre Website darauf prüfen soll, schreiben Sie mir.

Quellen: Sansec: Polyfill supply chain attack · Cloudflare. Stand: Juni 2024.