С июля текущего года GitHub использует репозиторий OpenSSF для предупреждения пользователей о вредоносном программном обеспечении, обнаруженном в восьми экосистемах пакетов. Сейчас организация OpenSSF подводит итоги одного из таких случаев.
В конце июля компания GitHub объявила о включении данных из репозитория "malicious-packages", принадлежащего организации OpenSSF (Open Source Security Foundation), в свою базу данных рекомендаций. С тех пор дочерняя компания Microsoft начала публиковать предупреждения о безопасности для восьми экосистем пакетов: crates.io, Go, Maven, NuGet, npm, PHP Composer, PyPI и RubyGems – ранее это было возможно только для пакетов npm. Сейчас организация OpenSSF подвела итоги: в репозиторий OpenSSF поступило более 238 000 сообщений о вредоносных пакетах.
Репозиторий OpenSSF, запущенный в 2023 году и содержащий более 15 000 записей, представляет собой общедоступную базу данных, поддерживаемую сообществом, которая использует формат Open-Source Vulnerability (OSV). На момент запуска GitHub был одним из трех основных источников данных, а сейчас более 28 000 отчетов о вредоносном ПО поступают именно с GitHub, как отмечается в блоге OpenSSF в статье, посвященной этому случаю. В качестве других поставщиков данных для проекта malicious-packages также упоминаются собственные проекты OpenSSF (Package Analysis), Amazon Inspector, Checkmarx, Google и ReversingLabs.
Разработка собственных методов обнаружения для восьми экосистем заняла бы годы, - оценил Анкит Кумар Хани, старший инженер GitHub и руководитель команды Dependabot, отвечающей за безопасность цепочек поставок, как указано в сообщении GitHub от августа 2026 года. Поэтому GitHub использовал уже существующий источник данных. "Тем временем, OpenSSF уже решила эту проблему агрегации для всех", - сказал Хани.
Dependabot отправляет уведомления по запросу пользователя.
Для импорта данных GitHub разработал собственный инструмент. Он проверяет сообщения, унифицирует наборы данных и обрабатывает отозванные уведомления. Параллельно с этим он предотвращает повторный импорт контента, созданного непосредственно в GitHub. Среди мер безопасности предусмотрены ограничения на размер пакетов для импорта, возможность отслеживания до исходных коммитов и функция отмены целых пакетов.
Предупреждения о вредоносном ПО, основанные на согласии пользователя, можно получать через Dependabot, сервис GitHub для отслеживания зависимостей проекта. Они доступны в каждом репозитории, где включены предупреждения Dependabot, но их необходимо активировать отдельно. Организации и предприятия могут развертывать эти предупреждения централизованно с помощью настроек безопасности. Пользователи, которые уже активировали предупреждения о вредоносном ПО, автоматически получат расширенную защиту.
В базе данных GitHub Advisory можно искать сообщения о вредоносном ПО, используя фильтр "type:malware". Если внутренний пакет имеет такое же имя, как и общедоступный вредоносный пакет, могут возникать ложные срабатывания. Их можно уменьшить с помощью автоматических правил для Dependabot. Однако предустановленное правило "Dismiss package malware alerts", которое по умолчанию отключено, также может отфильтровывать предупреждения о зависимостях, которые на самом деле являются вредоносными во всех версиях.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале