GitHub avvisa ora dei pacchetti malware in otto ecosistemi

Oltre 238.000 segnalazioni su pacchetti dannosi si trovano ormai in un database pubblico della Open Source Security Foundation (OpenSSF). Il repository malicious-packages era partito nel 2023 con più di 15.000 voci. È mantenuto da una comunità e utilizza il formato OSV, l'Open Source Vulnerability Format, cioè una descrizione uniforme delle vulnerabilità note e dei software dannosi nei pacchetti. A fine luglio GitHub ha annunciato di voler integrare questi dati nella propria Advisory Database.

Finora gli avvisi di malware di GitHub riguardavano solo i pacchetti dell'ecosistema npm, cioè le librerie JavaScript. Dall'annuncio il gruppo copre otto ecosistemi di pacchetti: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) e RubyGems. Secondo Ankit Kumar Honey, Senior Engineering Manager di GitHub e responsabile del team Dependabot, sviluppare metodi di rilevamento propri per tutti questi linguaggi avrebbe richiesto anni. GitHub ha quindi attinto a una fonte già disponibile. Honey lo ha detto così: «Nel frattempo OpenSSF ha già risolto il problema dell'aggregazione per tutti».

Per l'importazione GitHub ha realizzato un proprio strumento. Verifica le segnalazioni, uniforma i set di dati ed elabora gli advisory ritirati. Impedisce inoltre le importazioni duplicate dei propri contributi GitHub. Come misure di protezione GitHub indica limiti massimi per i batch di importazione, la tracciabilità fino ai commit upstream e la possibilità di annullare interi batch.

Per i team di sviluppo ciò significa: chi usa Dependabot, il servizio GitHub per il monitoraggio delle dipendenze di un progetto, può ricevere avvisi su pacchetti dannosi. Sono opt-in, cioè facoltativi, e vanno attivati separatamente in ogni repository. Le organizzazioni e le enterprise possono introdurli in blocco tramite le Security Configurations. Chi ha già attivato gli avvisi di malware riceve automaticamente la copertura estesa. Inoltre le segnalazioni si possono trovare nella Advisory Database con il filtro type:malware.

I limiti sono due. Se un pacchetto interno condivide il nome con un pacchetto pubblico dannoso, possono verificarsi falsi allarmi. Questi si possono ridurre con regole di auto-triage per Dependabot. Occorre però prestare attenzione: la regola predefinita «Dismiss package malware alerts», di default disattivata, scarta anche gli avvisi su dipendenze che in tutte le versioni sono effettivamente dannose. I numeri provengono dalla stessa OpenSSF e da GitHub; nella documentazione non sono disponibili misurazioni indipendenti sul numero di pacchetti dannosi censiti dal database.