GitHub alerte sur les paquets malveillants dans huit écosystèmes

Plus de 238 000 signalements de paquets malveillants figurent désormais dans une base de données publique de l'Open Source Security Foundation (OpenSSF). Le dépôt malicious-packages, lancé en 2023 avec plus de 15 000 entrées, est entretenu par une communauté et utilise le format OSV, pour Open Source Vulnerability, c'est-à-dire une description uniforme des failles de sécurité connues et des logiciels malveillants présents dans les paquets logiciels. Fin juillet, GitHub a annoncé qu'il intégrerait ces données à sa propre Advisory Database.

Jusqu'ici, GitHub ne diffusait des alertes sur les logiciels malveillants que pour les paquets de l'écosystème npm, c'est-à-dire les bibliothèques JavaScript. Depuis cette annonce, le groupe couvre huit écosystèmes de paquets : crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) et RubyGems. Selon Ankit Kumar Honey, Senior Engineering Manager chez GitHub et responsable de l'équipe Dependabot, mettre au point ses propres méthodes de détection pour l'ensemble de ces langages aurait pris des années. GitHub s'est donc appuyé sur une source existante. Honey le formule ainsi : « Entre-temps, l'OpenSSF a déjà résolu le problème de l'agrégation pour tout le monde. »

Pour cet import, GitHub a développé son propre outil. Il vérifie les signalements, uniformise les jeux de données et traite les avis retirés. Il empêche également les imports en double des contributions de GitHub elles-mêmes. Pour se protéger, GitHub mentionne des plafonds pour les lots d'import, la traçabilité jusqu'aux commits en amont et la possibilité d'annuler des lots entiers.

Pour les équipes de développement, cela signifie que les utilisateurs de Dependabot, le service de GitHub qui surveille les dépendances d'un projet, peuvent recevoir des alertes sur les paquets malveillants. Ces alertes sont facultatives, c'est-à-dire qu'il faut les activer en plus, dépôt par dépôt. Les organisations et les entreprises peuvent les déployer de manière centralisée via Security Configurations. Les utilisateurs qui ont déjà activé les alertes sur les logiciels malveillants bénéficient automatiquement de la couverture élargie. Par ailleurs, les signalements peuvent être retrouvés dans l'Advisory Database à l'aide du filtre type:malware.

Il existe deux limites. Si un paquet interne porte le même nom qu'un paquet public malveillant, des fausses alertes peuvent survenir. Elles peuvent être réduites à l'aide de règles d'auto-triage pour Dependabot. Une prudence s'impose toutefois : la règle préconfigurée « Dismiss package malware alerts » est désactivée par défaut, mais elle écarte aussi les alertes concernant des dépendances qui sont réellement malveillantes dans toutes leurs versions. Les chiffres proviennent de l'OpenSSF et de GitHub lui-même ; les documents ne contiennent pas de mesures indépendantes du nombre de paquets malveillants recensés par la base.