GitHub alerta de paquetes maliciosos en ocho ecosistemas

Más de 238.000 informes sobre paquetes dañinos se encuentran ya en una base de datos pública de la Open Source Security Foundation (OpenSSF). El repositorio malicious-packages arrancó en 2023 con más de 15.000 entradas. Lo mantiene una comunidad y utiliza el formato OSV (Open Source Vulnerability), es decir, una descripción unificada de vulnerabilidades conocidas y de software malicioso en paquetes de software. A finales de julio, GitHub anunció que incorporaría estos datos a su propia Advisory Database.

Hasta ahora, GitHub solo emitía alertas de malware para paquetes del ecosistema npm, es decir, para bibliotecas de JavaScript. Desde el anuncio, la compañía cubre ocho ecosistemas de paquetes: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) y RubyGems. Según la estimación de Ankit Kumar Honey, Senior Engineering Manager en GitHub y responsable del equipo de Dependabot, desarrollar métodos de detección propios para todos esos lenguajes habría tardado años. Por ese motivo, GitHub recurrió a una fuente ya existente. Honey lo formuló así: «Mientras tanto, OpenSSF ya ha resuelto el problema de la agregación para todos.»

Para la importación, GitHub ha creado una herramienta propia. Revisa los informes, unifica los conjuntos de datos y gestiona los avisos retirados. Además, evita las importaciones duplicadas de las propias contribuciones de GitHub. Como medidas de protección, GitHub menciona límites máximos para los lotes de importación, la trazabilidad hasta los commits upstream y la posibilidad de revertir lotes completos.

Para los equipos de desarrollo, esto significa que quienes usen Dependabot, el servicio de GitHub para supervisar las dependencias de un proyecto, pueden recibir alertas sobre paquetes dañinos. Son opt-in, es decir, voluntarias, y deben activarse además en cada repositorio. Las organizaciones y las empresas pueden implantarlas de forma centralizada mediante Security Configurations. Quien ya haya activado las alertas de malware recibe automáticamente la cobertura ampliada. Además, los informes pueden localizarse en la Advisory Database con el filtro type:malware.

Hay dos limitaciones. Si un paquete interno comparte nombre con un paquete público dañino, pueden producirse falsas alarmas. Estas pueden reducirse con reglas de auto-triaje para Dependabot. Pero hay que tener cuidado: la regla predefinida «Dismiss package malware alerts» viene desactivada por defecto y también descarta alertas sobre dependencias que, en todas sus versiones, son realmente dañinas. Las cifras proceden de OpenSSF y de GitHub; la documentación no incluye mediciones independientes sobre cuántos paquetes dañinos registra la base de datos.