Las dos versiones están alineadas bloque a bloque, en el orden del texto: titular, lo esencial y después párrafo a párrafo. Cuando la traducción ha fusionado o dividido un párrafo, la casilla correspondiente queda vacía — nunca emparejamos dos pasajes a ojo.
Mehr als 238.000 Meldungen über schädliche Pakete liegen inzwischen in einer öffentlichen Datenbank der Open Source Security Foundation (OpenSSF). Gestartet war das Repository malicious-packages 2023 mit mehr als 15.000 Einträgen. Es wird von einer Community gepflegt und verwendet das Format OSV, das Open-Source-Vulnerability-Format, also eine einheitliche Beschreibung bekannter Sicherheitslücken und Schadsoftware in Software-Paketen. Ende Juli kündigte GitHub an, diese Daten in seine eigene Advisory Database zu übernehmen.
Más de 238.000 informes sobre paquetes dañinos se encuentran ya en una base de datos pública de la Open Source Security Foundation (OpenSSF). El repositorio malicious-packages arrancó en 2023 con más de 15.000 entradas. Lo mantiene una comunidad y utiliza el formato OSV (Open Source Vulnerability), es decir, una descripción unificada de vulnerabilidades conocidas y de software malicioso en paquetes de software. A finales de julio, GitHub anunció que incorporaría estos datos a su propia Advisory Database.
Bislang gab es Malware-Warnungen von GitHub nur für Pakete des npm-Ökosystems, also für JavaScript-Bibliotheken. Seit der Ankündigung deckt der Konzern acht Paket-Ökosysteme ab: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) und RubyGems. Die eigenen Erkennungsmethoden für all diese Sprachen aufzubauen, hätte nach Einschätzung von Ankit Kumar Honey, Senior Engineering Manager bei GitHub und Leiter des Dependabot-Teams, Jahre gedauert. GitHub griff deshalb auf eine vorhandene Quelle zurück. Honey formulierte es so: „Unterdessen hat OpenSSF das Aggregationsproblem bereits für alle gelöst.“
Hasta ahora, GitHub solo emitía alertas de malware para paquetes del ecosistema npm, es decir, para bibliotecas de JavaScript. Desde el anuncio, la compañía cubre ocho ecosistemas de paquetes: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) y RubyGems. Según la estimación de Ankit Kumar Honey, Senior Engineering Manager en GitHub y responsable del equipo de Dependabot, desarrollar métodos de detección propios para todos esos lenguajes habría tardado años. Por ese motivo, GitHub recurrió a una fuente ya existente. Honey lo formuló así: «Mientras tanto, OpenSSF ya ha resuelto el problema de la agregación para todos.»
Für den Import hat GitHub ein eigenes Werkzeug gebaut. Es prüft die Meldungen, vereinheitlicht die Datensätze und verarbeitet zurückgezogene Advisories. Doppelte Importe der eigenen GitHub-Beiträge verhindert es. Als Schutzmaßnahmen nennt GitHub Obergrenzen für Import-Batches, die Rückverfolgbarkeit bis zu den Upstream-Commits und die Möglichkeit, ganze Batches zurückzurollen.
Para la importación, GitHub ha creado una herramienta propia. Revisa los informes, unifica los conjuntos de datos y gestiona los avisos retirados. Además, evita las importaciones duplicadas de las propias contribuciones de GitHub. Como medidas de protección, GitHub menciona límites máximos para los lotes de importación, la trazabilidad hasta los commits upstream y la posibilidad de revertir lotes completos.
Für Entwicklerteams heißt das: Wer Dependabot nutzt, den GitHub-Dienst zur Überwachung der Abhängigkeiten eines Projekts, kann Warnungen zu schädlichen Paketen abrufen. Sie sind opt-in, also freiwillig, und müssen in jedem Repository zusätzlich eingeschaltet werden. Organisationen und Enterprises können sie über Security Configurations gesammelt einführen. Wer die Malware-Warnungen bereits aktiviert hat, erhält die erweiterte Abdeckung automatisch. Zudem lassen sich die Meldungen in der Advisory Database mit dem Filter type:malware finden.
Para los equipos de desarrollo, esto significa que quienes usen Dependabot, el servicio de GitHub para supervisar las dependencias de un proyecto, pueden recibir alertas sobre paquetes dañinos. Son opt-in, es decir, voluntarias, y deben activarse además en cada repositorio. Las organizaciones y las empresas pueden implantarlas de forma centralizada mediante Security Configurations. Quien ya haya activado las alertas de malware recibe automáticamente la cobertura ampliada. Además, los informes pueden localizarse en la Advisory Database con el filtro type:malware.
Zwei Grenzen gibt es. Teilt ein internes Paket seinen Namen mit einem schädlichen öffentlichen Paket, kann es zu Fehlalarmen kommen. Sie lassen sich mit Auto-Triage-Regeln für Dependabot reduzieren. Dabei ist Vorsicht geboten: Die vorgefertigte Regel „Dismiss package malware alerts“ ist standardmäßig deaktiviert, verwirft aber auch Warnungen zu Abhängigkeiten, die in allen Versionen tatsächlich schädlich sind. Die Zahlen stammen von der OpenSSF und GitHub selbst; unabhängige Messungen dazu, wie viele Schadpakete die Datenbank erfasst, liegen in den Unterlagen nicht vor.
Hay dos limitaciones. Si un paquete interno comparte nombre con un paquete público dañino, pueden producirse falsas alarmas. Estas pueden reducirse con reglas de auto-triaje para Dependabot. Pero hay que tener cuidado: la regla predefinida «Dismiss package malware alerts» viene desactivada por defecto y también descarta alertas sobre dependencias que, en todas sus versiones, son realmente dañinas. Las cifras proceden de OpenSSF y de GitHub; la documentación no incluye mediciones independientes sobre cuántos paquetes dañinos registra la base de datos.