Ein GitHub Personal Access Token im öffentlichen App-Binary. Firebase Admin Private Keys für IoT-Infrastruktur. Über 120 HR-API-Endpunkte mit Zugang zu Gehalts- und Personaldaten. Und ein Konzern, der 90 Tage lang nicht vollständig reagierte.
7 Critical 14 High Supply Chain IoT / Connected Devices HR / Personaldaten
| Kategorie | Befund | Impact |
|---|---|---|
| Supply Chain | GitHub Personal Access Token im App-Binary — Zugriff auf Build-Pipeline aller Plattformkunden | Critical |
| Supply Chain | Hartcodierte CI/CD-Zugangsdaten in öffentlich herunterladbaren APKs | Critical |
| IoT / Fahrzeuge | Firebase Admin SDK Private Keys — Geräteinfrastruktur exponiert | Critical |
| Personaldaten | 120+ HR-API-Endpunkte: Gehaltsabrechnungen, Schichtpläne, Abwesenheiten (500+ Unternehmen) | High |
| Push/Messaging | Push-Notification-Schlüssel im Klartext — massenhafte Manipulation möglich | High |
| Regression | Bosch-Update führte FileProvider-Regression ein — Zugriff auf gesamtes Dateisystem | High |
Mehrere Befunde betreffen nicht nur Bosch direkt, sondern eine Drittanbieter-Plattform für Mitarbeiterkommunikation, die von über 500 Unternehmen weltweit eingesetzt wird. Die identifizierten HR-API-Endpunkte und das GitHub-Token in der Bosch-App gefährden die gesamte Lieferkette dieses Plattformanbieters.
Ein einzelner kompromittierter Zugangsdatensatz kann kaskadierende Auswirkungen auf hunderte Organisationen haben — ein klassisches Supply-Chain-Risiko.
Statische Analyse öffentlich verfügbarer APKs. Kein Systemzugriff. Keine Credentials getestet. Keine Nutzerdaten extrahiert. ISO 29147.
Alle Einschätzungen basieren auf eigener Sicherheitsanalyse. Unabhängige Verifizierung durch den Hersteller bleibt maßgeblich.