GitHub anunció un nuevo mecanismo de enfriamiento para Dependabot. Esto permite que la herramienta espere al menos 3 días después de publicar un lanzamiento antes de abrir una solicitud de extracción.
«Sin embargo, las opciones de configuración de enfriamiento en dependabot.yml controlan el comportamiento, por lo que puedes elegir diferentes parámetros de enfriamiento que sean apropiados para tu proyecto», dijo la subsidiaria propiedad de Microsoft.
Según GitHub, el tiempo de reutilización predeterminado de tres días solo se aplica a las actualizaciones de versión diseñadas para mantener actualizadas las dependencias del software. Las actualizaciones de seguridad seguirán publicándose rápidamente, lo que permitirá al Dependabot emitir alertas y abrir solicitudes de extracción para mover su proyecto a una versión parcheada.
Esta actualización tiene como objetivo abordar el escenario en el que un actor de amenazas publica con éxito una versión envenenada de un paquete popular, que los proyectos posteriores eliminan rápidamente antes de eliminarlo del registro. Aunque estos paquetes troyanizados tienen una vida corta, la duración de su accesibilidad es suficiente para aumentar el alcance explosivo de los ataques a la cadena de suministro.
GitHub dijo que estableció un valor predeterminado de 3 días porque cree que el período de tiempo está en la zona Ricitos de Oro. «Los tres días predeterminados equilibran dos objetivos: exceder la vida útil de la mayoría de estos ataques y no mantener las dependencias más tiempo del necesario», añadió.
Al mismo tiempo, las plataformas de desarrollo de software enfatizaron que los controles son solo una capa de otras defensas, como fijar dependencias con archivos de bloqueo, deshabilitar scripts de instalación en CI, determinar el alcance de los tokens en los canales de compilación y buscar actualizaciones antes de fusionarlas.
«Los tiempos de reutilización se basan en patrones específicos: enviar, difundir y detectar rápidamente versiones maliciosas», dijo GitHub. «Son en gran medida ineficaces contra ataques que tienen un alcance más largo, como puertas traseras que se colocan en versiones y permanecen inactivas, sabotajes de los mantenedores y sistemas de compilación comprometidos».
Vale la pena señalar que durante el año pasado se anunciaron controles de enfriamiento similares en una variedad de ecosistemas de paquetes, incluidos Microsoft Visual Studio Code (VS Code), Ruby, Bun, npm, pnpm y Yarn.
Las defensas basadas en el tiempo de GitHub se producen después de que los mantenedores del Python Package Index (PyPI) anunciaran planes para impedir que los mantenedores agreguen nuevos archivos a las versiones de paquetes que tengan 14 días de antigüedad.
«Esta medida tiene como objetivo evitar que los atacantes que comprometen los tokens públicos y los flujos de trabajo contaminen versiones confiables más antiguas», dijo PyPI.
Source link
