GitHub und PyPI führen zeitbasierte Schutzmechanismen ein

GitHub und PyPI führen zeitverzögerte Schutzmechanismen ein, um Entwicklungsumgebungen vor manipulierten Software-Paketen zu schützen.

GitHub führt in seinem Abhängigkeits-Manager Dependabot eine dreitägige Wartezeit für Paketaktualisierungen ein. Die Frist von 72 Stunden gilt als Standardeinstellung und soll verhindern, dass neu veröffentlichte, böswillige Pakete direkt automatisiert in Projekte übernommen werden. In der Vergangenheit wurden schädliche npm-Pakete zwar oft innerhalb weniger Minuten von Sicherheitstools erkannt, jedoch verblieb bis zur Entfernung durch die Verantwortlichen ein Zeitfenster für Infektionen. Die Verzögerung lässt sich über die Konfigurationsoption cooldown individuell anpassen.

PyPI blockiert nachträgliche Dateiuploads bei älteren Versionen

Der Python Package Index unterbindet das Hinzufügen neuer Dateien zu Paketveröffentlichungen, wenn seit deren Publikation mehr als 14 Tage vergangen sind. Diese Maßnahme richtet sich präventiv gegen Angriffe, bei denen kompromittierte Zugangsdaten genutzt werden, um ältere, vertrauenswürdige Versionen nachträglich mit Schadcode zu versehen. Auswertungen der Plattform zeigten, dass Entwickler nur in sehr wenigen Ausnahmefällen nach Ablauf von zwei Wochen noch Dateien zu bestehenden Versionen hochladen.

Reaktion auf zurückliegende Angriffe auf Software-Ökosysteme

Die Einführung der zeitbasierten Abwehrmechanismen folgt auf eine Reihe von Angriffen auf Software-Lieferketten. Zu den dokumentierten Vorfällen zählen unter anderem die Kampagnen chalk, debug, s1ngularity, Shai-Hulud und GhostAction. Als ergänzende Schutzmaßnahmen empfiehlt GitHub das Fixieren von Abhängigkeiten über Lockfiles, die Nutzung von Tokens mit eingeschränkten Rechten sowie das Deaktivieren nicht benötigter Installationsskripte in Continuous-Integration-Systemen.

(red)