HELLOMENU
APP SECURITY REPORT · 10. 22. Oktober 2026 · Aktualisiert 10. 24. Oktober 2026

Bosch GitHub Sicherheitslücke: Personal Access Token in Android-App

Ein GitHub Personal Access Token. In einer öffentlich herunterladbaren APK. Der Token gewährt Zugriff auf Repositories, Build-Pipelines und CI/CD-Konfigurationen — nicht nur von Bosch, sondern der gesamten Drittanbieter-Plattform mit über 500 Unternehmenskunden.

1
GitHub PAT
500+
Kunden betroffen
CI/CD
Pipeline-Zugriff
90+
Tage aktiv

Was ermöglicht der Token?

Ein GitHub Personal Access Token (PAT) mit Repository-Zugriff wurde in einer Bosch-Android-App im Klartext gefunden. Je nach Token-Scope ermöglicht dies:

  • Source Code lesen — Private Repositories, interner Code, Konfigurationen
  • Code ändern — Commits pushen, Branches erstellen, Pull Requests mergen
  • CI/CD-Secrets lesen — Deployment-Credentials, API-Keys, Datenbank-Passwörter
  • Supply-Chain-Angriff — Schadcode in die Build-Pipeline einschleusen

Supply-Chain-Kaskade

Der Token gehört nicht zu Bosch direkt, sondern zu einer Drittanbieter-Plattform. Über die Build-Pipeline dieser Plattform erreicht ein Angreifer alle 500+ Unternehmenskunden gleichzeitig:

Bosch APK → GitHub PAT → Plattform-Repo → CI/CD → 500+ Apps

Dieses Muster entspricht den bekanntesten Supply-Chain-Angriffen der letzten Jahre: SolarWinds (2020), Codecov (2021), 3CX (2023).

Vergleich: Bekannte Supply-Chain-Angriffe

VorfallBetroffeneVektor
SolarWinds (2020)~18.000 Org.Kompromittierter Build-Server
Codecov (2021)~29.000 ReposGeleakter Bash-Uploader-Token
Bosch/Plattform (2026)500+ FirmenGitHub PAT in öffentlicher APK

Vollständiger Report und Security Advisory:

BuriLabs Research Report → Skylasec Advisory →

Weitere Berichte