GitHub объявил о новых мерах безопасности в отношении публикации пакетов в npm. Теперь конфигурации доверенной публикации, которые не были проверены, будут автоматически истекать через 48 часов после их создания. Это решение стало следствием исследования, в котором было установлено, что злоумышленники могли загружать новые версии пакетов других пользователей, не имея доступа к их учетным данным.

По словам представителей GitHub, конфигурация станет действительной и освобожденной от истечения после первой успешной публикации. Это нововведение направлено на защиту разработчиков и их проектов от возможных атак, связанных с подменой пакетов.

Ранее исследователи безопасности обнаружили, что уязвимость позволяла злоумышленникам использовать неактивные или забытые пакеты для внедрения вредоносного кода. Это создавало серьезные риски для пользователей, которые могли случайно установить такие пакеты.

GitHub, принадлежащий Microsoft, продолжает работать над улучшением безопасности своей платформы, учитывая растущие угрозы в области кибербезопасности. Новые меры должны помочь предотвратить подобные инциденты в будущем и повысить доверие к экосистеме npm.

Разработчики теперь должны быть более внимательными к своим конфигурациям и следить за сроками их действия. GitHub также рекомендует регулярно обновлять пакеты и использовать дополнительные средства защиты для минимизации рисков.

С введением новых правил GitHub надеется, что сообщество разработчиков сможет работать в более безопасной среде, где риски кибератак будут снижены до минимума.

Источник новости:
The Hacker News

Читать полностью