Both versions are aligned block by block, in reading order: title, the essentials, then paragraph by paragraph. Where the translation merged or split a paragraph, the matching cell stays empty — we never pair two passages by guesswork.
Mehr als 238.000 Meldungen über schädliche Pakete liegen inzwischen in einer öffentlichen Datenbank der Open Source Security Foundation (OpenSSF). Gestartet war das Repository malicious-packages 2023 mit mehr als 15.000 Einträgen. Es wird von einer Community gepflegt und verwendet das Format OSV, das Open-Source-Vulnerability-Format, also eine einheitliche Beschreibung bekannter Sicherheitslücken und Schadsoftware in Software-Paketen. Ende Juli kündigte GitHub an, diese Daten in seine eigene Advisory Database zu übernehmen.
More than 238,000 reports on malicious packages are now held in a public database maintained by the Open Source Security Foundation (OpenSSF). The malicious-packages repository started in 2023 with more than 15,000 entries. It is maintained by a community and uses the OSV format, the Open Source Vulnerability format, which is a uniform description of known security vulnerabilities and malware in software packages. In late July, GitHub announced that it would import this data into its own Advisory Database.
Bislang gab es Malware-Warnungen von GitHub nur für Pakete des npm-Ökosystems, also für JavaScript-Bibliotheken. Seit der Ankündigung deckt der Konzern acht Paket-Ökosysteme ab: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) und RubyGems. Die eigenen Erkennungsmethoden für all diese Sprachen aufzubauen, hätte nach Einschätzung von Ankit Kumar Honey, Senior Engineering Manager bei GitHub und Leiter des Dependabot-Teams, Jahre gedauert. GitHub griff deshalb auf eine vorhandene Quelle zurück. Honey formulierte es so: „Unterdessen hat OpenSSF das Aggregationsproblem bereits für alle gelöst.“
Until now, GitHub's malware warnings covered only packages in the npm ecosystem, that is, JavaScript libraries. Since the announcement, the company has covered eight package ecosystems: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) and RubyGems. According to Ankit Kumar Honey, Senior Engineering Manager at GitHub and head of the Dependabot team, building its own detection methods for all of these languages would have taken years. GitHub therefore turned to an existing source. Honey put it this way: “Meanwhile, OpenSSF has already solved the aggregation problem for everyone.”
Für den Import hat GitHub ein eigenes Werkzeug gebaut. Es prüft die Meldungen, vereinheitlicht die Datensätze und verarbeitet zurückgezogene Advisories. Doppelte Importe der eigenen GitHub-Beiträge verhindert es. Als Schutzmaßnahmen nennt GitHub Obergrenzen für Import-Batches, die Rückverfolgbarkeit bis zu den Upstream-Commits und die Möglichkeit, ganze Batches zurückzurollen.
For the import, GitHub built its own tool. It checks the reports, standardizes the datasets and handles withdrawn advisories. It also prevents duplicate imports of GitHub's own contributions. As safeguards, GitHub cites caps on import batches, traceability back to the upstream commits, and the ability to roll back entire batches.
Für Entwicklerteams heißt das: Wer Dependabot nutzt, den GitHub-Dienst zur Überwachung der Abhängigkeiten eines Projekts, kann Warnungen zu schädlichen Paketen abrufen. Sie sind opt-in, also freiwillig, und müssen in jedem Repository zusätzlich eingeschaltet werden. Organisationen und Enterprises können sie über Security Configurations gesammelt einführen. Wer die Malware-Warnungen bereits aktiviert hat, erhält die erweiterte Abdeckung automatisch. Zudem lassen sich die Meldungen in der Advisory Database mit dem Filter type:malware finden.
For development teams, this means that anyone using Dependabot, GitHub's service for monitoring a project's dependencies, can receive warnings about malicious packages. These warnings are opt-in, meaning they are voluntary, and must additionally be enabled in each repository. Organizations and enterprises can roll them out collectively via Security Configurations. Anyone who has already enabled malware warnings receives the expanded coverage automatically. In addition, the reports can be found in the Advisory Database using the filter type:malware.
Zwei Grenzen gibt es. Teilt ein internes Paket seinen Namen mit einem schädlichen öffentlichen Paket, kann es zu Fehlalarmen kommen. Sie lassen sich mit Auto-Triage-Regeln für Dependabot reduzieren. Dabei ist Vorsicht geboten: Die vorgefertigte Regel „Dismiss package malware alerts“ ist standardmäßig deaktiviert, verwirft aber auch Warnungen zu Abhängigkeiten, die in allen Versionen tatsächlich schädlich sind. Die Zahlen stammen von der OpenSSF und GitHub selbst; unabhängige Messungen dazu, wie viele Schadpakete die Datenbank erfasst, liegen in den Unterlagen nicht vor.
There are two limitations. If an internal package shares its name with a malicious public package, false alarms can occur. These can be reduced with auto-triage rules for Dependabot. Caution is required here: the prebuilt rule “Dismiss package malware alerts” is disabled by default, but it also dismisses warnings about dependencies that are genuinely malicious in all versions. The figures come from the OpenSSF and GitHub themselves; the documents contain no independent measurements of how many malicious packages the database captures.