CrowdSec heeft een incident bevestigd waarbij in mei 2026 broncode van hun privé-repositories is gelekt. Het lek betrof onder andere de SaaS-console, AWS Cloud-routines en diverse connectoren, terwijl de publieke Security Engine buiten schot bleef.
De belangrijkste punten uit de verklaring zijn:
- Geen impact op gebruikers: Er zijn geen klantgegevens, wachtwoorden of persoonsgegevens (PII) gelekt.
- Oorzaak: Het lek is waarschijnlijk veroorzaakt door een compromis van de Tanstack-component, waarbij een backdoor werd gebruikt om API-sleutels te extraheren.
- Maatregelen: Alle relevante tokens en inloggegevens zijn geroteerd en de organisatie monitort actief op abnormale activiteiten.
CrowdSec stelt dat de impact beperkt is omdat de gelekte code sterk is geëvolueerd sinds mei en uitsluitend functioneert binnen hun eigen ecosysteem.
CrowdSec Verklaring: Blootstelling van Broncode in mei 2026
Op 16 september werd CrowdSec geïnformeerd over een lek van broncode met betrekking tot onze GitHub-repository, dat plaatsvond in mei 2026. Ons team heeft het rapport geverifieerd en bevestigd.
De broncode van CrowdSec bestaat uit twee delen:
- Een publiek deel dat onze Free Open Source Software host (namelijk de Security Engine), wat van ontwerp publiek is en daarom buiten het bereik van dit incident valt.
- Een privégedeelte dat de broncode bevat voor onze SaaS-console, bepaalde AWS Cloud-routines, diverse connectoren en automatiseringen.
Details over de repositories
De nieuwskoppen die beweren dat er 300 verschillende repositories betrokken zijn, zijn accuraat (wanneer de 130+ publieke repositories worden meegerekend), hoewel dit aantal vooral de onderverdeling van de code weerspiegelt in plaats van een specifiek volume. Wij bevestigen geen "andere bestanden" of "intern ontwikkelingsmateriaal", aangezien alle code in deze repositories is gepubliceerd. De API-gerelateerde informatie betreft het token dat door de CI/CD-component zelf wordt gebruikt.
Impact en veiligheid
Er zijn geen klantgegevens, inloggegevens, wachtwoorden, namen, organisaties of andere persoonlijke informatie gelekt. CrowdSec bewaart geen PII (persoonsgegevens) of klantlogs; de impact is derhalve beperkt tot CrowdSec zelf. Ons team heeft direct onderzoek gedaan naar tokens, inloggegevens of andere gevoelige lekken die lateral movement mogelijk zouden kunnen maken, maar heeft tot nu toe niets gevonden.
De code in deze privé-repositories heeft waarde, maar kan CrowdSec niet echt schaden. Onze efficiëntie is namelijk afhankelijk van ons netwerkeffect en onze omvang, zaken die niet enkel door code gereproduceerd kunnen worden. We hebben de SaaS-broncode regelmatig gecontroleerd, waardoor de lekkage geen onmiddellijk gevaar zou moeten vormen.
Daarnaast is het grootste deel van de gelekte code in de vier maanden sinds het lek aanzienlijk geëvolueerd. We zullen echter nauwlettend blijven monitoren op abnormale activiteiten. Het gebruik van deze code buiten CrowdSec lijkt onwaarschijnlijk, aangezien deze uitsluitend interacteert met onze eigen data en tools en niet in een andere context kan worden ingezet.
Oorzaak en maatregelen
We houden u op de hoogte terwijl we het onderzoek voortzetten, maar het is zeer waarschijnlijk dat het Tanstack-compromis de lekvector was (vergelijkbaar met het geval van Mistral AI). Deze component werd in mei binnen onze organisatie gebruikt en lijkt te zijn voorzien van een backdoor om een API-sleutel te extraheren met autorisatie om de private codebase te lezen. Het lek was slechts exploiteerbaar gedurende een kort tijdsbestek in mei 2026.
Ondanks dit korte tijdsbestek hebben we onmiddellijk alle vereiste tokens en inloggegevens geroteerd om verdere incidenten te voorkomen.
Het team wil Fuites Infos bedanken voor hun tijdige en professionele melding van dit probleem.
***
Geschreven door: Het CrowdSec-team
CrowdSec Verklaring: Blootstelling van Broncode in mei 2026
Op 16 september werd CrowdSec geïnformeerd over een lek van broncode met betrekking tot onze GitHub-repository, dat plaatsvond in mei 2026. Ons team heeft het rapport geverifieerd en bevestigd.
De broncode van CrowdSec bestaat uit twee delen:
- Een publiek deel dat onze Free Open Source Software host (namelijk de Security Engine), wat van ontwerp publiek is en daarom buiten het bereik van dit incident valt.
- Een privégedeelte dat de broncode bevat voor onze SaaS-console, bepaalde AWS Cloud-routines, diverse connectoren en automatiseringen.
Details over de repositories
De nieuwskoppen die beweren dat er 300 verschillende repositories betrokken zijn, zijn accuraat (wanneer de 130+ publieke repositories worden meegerekend), hoewel dit aantal vooral de onderverdeling van de code weerspiegelt in plaats van een specifiek volume. Wij bevestigen geen "andere bestanden" of "intern ontwikkelingsmateriaal", aangezien alle code in deze repositories is gepubliceerd. De API-gerelateerde informatie betreft het token dat door de CI/CD-component zelf wordt gebruikt.
Impact en veiligheid
Er zijn geen klantgegevens, inloggegevens, wachtwoorden, namen, organisaties of andere persoonlijke informatie gelekt. CrowdSec bewaart geen PII (persoonsgegevens) of klantlogs; de impact is derhalve beperkt tot CrowdSec zelf. Ons team heeft direct onderzoek gedaan naar tokens, inloggegevens of andere gevoelige lekken die lateral movement mogelijk zouden kunnen maken, maar heeft tot nu toe niets gevonden.
De code in deze privé-repositories heeft waarde, maar kan CrowdSec niet echt schaden. Onze efficiëntie is namelijk afhankelijk van ons netwerkeffect en onze omvang, zaken die niet enkel door code gereproduceerd kunnen worden. We hebben de SaaS-broncode regelmatig gecontroleerd, waardoor de lekkage geen onmiddellijk gevaar zou moeten vormen.
Daarnaast is het grootste deel van de gelekte code in de vier maanden sinds het lek aanzienlijk geëvolueerd. We zullen echter nauwlettend blijven monitoren op abnormale activiteiten. Het gebruik van deze code buiten CrowdSec lijkt onwaarschijnlijk, aangezien deze uitsluitend interacteert met onze eigen data en tools en niet in een andere context kan worden ingezet.
Oorzaak en maatregelen
We houden u op de hoogte terwijl we het onderzoek voortzetten, maar het is zeer waarschijnlijk dat het Tanstack-compromis de lekvector was (vergelijkbaar met het geval van Mistral AI). Deze component werd in mei binnen onze organisatie gebruikt en lijkt te zijn voorzien van een backdoor om een API-sleutel te extraheren met autorisatie om de private codebase te lezen. Het lek was slechts exploiteerbaar gedurende een kort tijdsbestek in mei 2026.
Ondanks dit korte tijdsbestek hebben we onmiddellijk alle vereiste tokens en inloggegevens geroteerd om verdere incidenten te voorkomen.
Het team wil Fuites Infos bedanken voor hun tijdige en professionele melding van dit probleem.
***
Geschreven door: Het CrowdSec-team
Groetjes,