Sicherheitslücke bei GitHub
Nutzer wurden aufgrund einer Sicherheitslücke in fremde Accounts eingeloggt.

GitHub, ein Online-Dienst zur versionskontrollierten Projektverwaltung mit über 40 Millionen Nutzern, hat durch einen anonymen Hinweisgeber am 2. März 2021 Kenntnis von einer potentiell gefährlichen Sicherheitslücke erhalten: Manche Nutzer wurden beim Anmelden stattdessen in den Account eines anderen Nutzers eingeloggt. Grund dafür war eine seltene Wettlaufsituation (race condition), durch die Nutzer beim Login an den Browser eines bereits eingeloggten Users fehlgeleitet wurden und so Zugriff zu dessen Account erhielten. Es wird vermutet, dass weniger als 0.001% aller Sessions vom Bug betroffen waren.

Nach Einschätzungen von GitHub war die Sicherheitslücke an bestimmten Zeitpunkten zwischen dem 8. Februar und dem 5. März 2021 über einen Zeitraum von insgesamt unter zwei Wochen aktiv, jedoch ohne bewusst ausgenutzt werden zu können. Mittlerweile hat GitHub den Fehler mittels zwei Patches am 05. bzw. am 08. März behoben. Letzterer hatte zum Logout aller aktiven Sitzungen geführt und sollte die Sicherheitsmaßnahmen des ersten Patches weiter stärken.