GitHub, kötü amaçlı yazılım bildirimlerini OpenSSF verileriyle birleştirerek npm dışı ekosistemleri de kapsayacak şekilde genişletti. Veri hattı temkinli inşa edildi.
Ne oldu?
GitHub, kötü amaçlı yazılım bildirimlerini (malware advisories) yalnızca npm paketleriyle sınırlı olmaktan çıkarıp OpenSSF (Open Source Security Foundation) tarafından sağlanan kötü amaçlı paket verilerini kendi Advisory Database sistemine entegre etti. Bu sayede npm dışındaki ekosistemlerdeki (örneğin PyPI, RubyGems vb.) kötü amaçlı paketler de GitHub Güvenlik Danışma Veritabanı'nda yer almaya başladı. GitHub, bu veri hattını neden aşırı temkinli (overly cautious) bir şekilde inşa ettiğini açıkladı: veri doğruluğunu sağlamak ve yanlış pozitifleri önlemek için çok katmanlı doğrulama süreçleri uygulanıyor.
Neden önemli?
Bu adım, yazılım tedarik zinciri güvenliği açısından kritik. Daha önce GitHub'ın kötü amaçlı yazılım uyarıları yalnızca npm ile sınırlıydı; bu da diğer paket yöneticilerindeki tehditlerin gözden kaçmasına neden olabilirdi. OpenSSF verilerinin entegrasyonu, açık kaynak ekosistemindeki kötü amaçlı paketlerin daha geniş bir perspektifle izlenmesini sağlıyor. Ayrıca, veri hattının temkinli tasarımı, güvenlik uyarılarının güvenilirliğini artırıyor; yanlış alarmların azaltılması, geliştiricilerin uyarılara olan güvenini koruyor.
Kim veya ne etkileniyor?
- Geliştiriciler ve yazılım ekipleri: Bağımlılık taramalarında artık npm dışı paketler için de kötü amaçlı yazılım uyarıları alabilecekler.
- Paket yöneticileri ekosistemleri: PyPI, RubyGems, Maven gibi diğer ekosistemlerdeki kullanıcılar dolaylı olarak faydalanacak.
- Açık kaynak projeleri: Tedarik zinciri saldırılarına karşı daha iyi korunma imkanı.
- GitHub Güvenlik Danışma Veritabanı kullanıcıları: Veri zenginliği artacak.
Ne yapılmalı?
- Geliştiriciler, GitHub'ın güvenlik uyarılarını takip etmeye devam etmeli ve bağımlılık taramalarını düzenli yapmalı.
- Organizasyonlar, tedarik zinciri güvenliği için OpenSSF araçlarını ve verilerini kullanmayı değerlendirmeli.
- GitHub'ın bu yeni veri kaynağını doğrulamak için yayınladığı dokümantasyonu incelemek faydalı olabilir; ancak veri doğruluğu konusunda kesin bir garanti yoktur.
- Topluluklar, kötü amaçlı paket tespitinde iş birliğini artırmalı; şüpheli paketleri bildirmeye devam etmeli.