As duas versões estão alinhadas bloco a bloco, pela ordem do texto: título, o essencial e depois parágrafo a parágrafo. Quando a tradução fundiu ou dividiu um parágrafo, a casa correspondente fica vazia — nunca aproximamos duas passagens a olho.
Mehr als 238.000 Meldungen über schädliche Pakete liegen inzwischen in einer öffentlichen Datenbank der Open Source Security Foundation (OpenSSF). Gestartet war das Repository malicious-packages 2023 mit mehr als 15.000 Einträgen. Es wird von einer Community gepflegt und verwendet das Format OSV, das Open-Source-Vulnerability-Format, also eine einheitliche Beschreibung bekannter Sicherheitslücken und Schadsoftware in Software-Paketen. Ende Juli kündigte GitHub an, diese Daten in seine eigene Advisory Database zu übernehmen.
Mais de 238 000 relatórios sobre pacotes maliciosos estão atualmente reunidos numa base de dados pública da Open Source Security Foundation (OpenSSF). O repositório malicious-packages arrancou em 2023 com mais de 15 000 entradas. É mantido por uma comunidade e utiliza o formato OSV, o Open Source Vulnerability Format, ou seja, uma descrição uniforme de vulnerabilidades conhecidas e de software malicioso em pacotes de software. No final de julho, o GitHub anunciou que iria integrar estes dados na sua própria Advisory Database.
Bislang gab es Malware-Warnungen von GitHub nur für Pakete des npm-Ökosystems, also für JavaScript-Bibliotheken. Seit der Ankündigung deckt der Konzern acht Paket-Ökosysteme ab: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) und RubyGems. Die eigenen Erkennungsmethoden für all diese Sprachen aufzubauen, hätte nach Einschätzung von Ankit Kumar Honey, Senior Engineering Manager bei GitHub und Leiter des Dependabot-Teams, Jahre gedauert. GitHub griff deshalb auf eine vorhandene Quelle zurück. Honey formulierte es so: „Unterdessen hat OpenSSF das Aggregationsproblem bereits für alle gelöst.“
Até agora, os alertas de malware do GitHub só existiam para pacotes do ecossistema npm, ou seja, para bibliotecas JavaScript. Desde o anúncio, o grupo cobre oito ecossistemas de pacotes: crates.io (Rust), Go, Maven, NuGet, npm, PHP Composer, PyPI (Python) e RubyGems. Desenvolver os próprios métodos de deteção para todas estas linguagens teria demorado anos, segundo Ankit Kumar Honey, Senior Engineering Manager no GitHub e responsável pela equipa do Dependabot. O GitHub recorreu, por isso, a uma fonte já existente. Honey formulou-o assim: «Entretanto, a OpenSSF já resolveu o problema da agregação para todos.»
Für den Import hat GitHub ein eigenes Werkzeug gebaut. Es prüft die Meldungen, vereinheitlicht die Datensätze und verarbeitet zurückgezogene Advisories. Doppelte Importe der eigenen GitHub-Beiträge verhindert es. Als Schutzmaßnahmen nennt GitHub Obergrenzen für Import-Batches, die Rückverfolgbarkeit bis zu den Upstream-Commits und die Möglichkeit, ganze Batches zurückzurollen.
Para a importação, o GitHub construiu uma ferramenta própria. Verifica os relatórios, uniformiza os conjuntos de dados e trata os avisos retirados. Também impede importações duplicadas das contribuições do próprio GitHub. Como medidas de proteção, o GitHub indica limites máximos para os lotes de importação, a rastreabilidade até aos commits de origem e a possibilidade de reverter lotes inteiros.
Für Entwicklerteams heißt das: Wer Dependabot nutzt, den GitHub-Dienst zur Überwachung der Abhängigkeiten eines Projekts, kann Warnungen zu schädlichen Paketen abrufen. Sie sind opt-in, also freiwillig, und müssen in jedem Repository zusätzlich eingeschaltet werden. Organisationen und Enterprises können sie über Security Configurations gesammelt einführen. Wer die Malware-Warnungen bereits aktiviert hat, erhält die erweiterte Abdeckung automatisch. Zudem lassen sich die Meldungen in der Advisory Database mit dem Filter type:malware finden.
Para as equipas de programação, isto significa que quem utiliza o Dependabot, o serviço do GitHub que monitoriza as dependências de um projeto, pode receber alertas sobre pacotes maliciosos. Estes alertas são opt-in, ou seja, de adesão voluntária, e têm de ser ativados adicionalmente em cada repositório. As organizações e as empresas (Enterprises) podem introduzi-los de forma centralizada através de Security Configurations. Quem já ativou os alertas de malware recebe automaticamente a cobertura alargada. Além disso, os relatórios podem ser encontrados na Advisory Database com o filtro type:malware.
Zwei Grenzen gibt es. Teilt ein internes Paket seinen Namen mit einem schädlichen öffentlichen Paket, kann es zu Fehlalarmen kommen. Sie lassen sich mit Auto-Triage-Regeln für Dependabot reduzieren. Dabei ist Vorsicht geboten: Die vorgefertigte Regel „Dismiss package malware alerts“ ist standardmäßig deaktiviert, verwirft aber auch Warnungen zu Abhängigkeiten, die in allen Versionen tatsächlich schädlich sind. Die Zahlen stammen von der OpenSSF und GitHub selbst; unabhängige Messungen dazu, wie viele Schadpakete die Datenbank erfasst, liegen in den Unterlagen nicht vor.
Há duas limitações. Se um pacote interno partilhar o nome com um pacote público malicioso, podem surgir falsos alarmes. Estes podem ser reduzidos com regras de triagem automática para o Dependabot. Nesse caso, é preciso cautela: a regra pré-definida «Dismiss package malware alerts» está desativada por defeito, mas também descarta alertas sobre dependências que são de facto maliciosas em todas as versões. Os números provêm da OpenSSF e do próprio GitHub; não existem na documentação medições independentes sobre quantos pacotes maliciosos a base de dados regista.