GitHub automatisiert das Deaktivieren von npm-Skripten, um Supply-Chain-Angriffe zu verhindern

Sicherheitslage und Risiko

Diese nderungen schlieen kritische Angriffswege, bei denen bsartige Pakete Git-Abhngigkeiten ausnutzen knnten.

Besonders hervorzuheben ist, dass Angreifer in der Vergangenheit `.npmrc`-Konfigurationen in Git-Repositories missbraucht haben, um Systembinärdateien zu überschreiben, selbst wenn die Skriptausführung über die Option `ignore-scripts` deaktiviert war.

Um Entwicklern den bergang zu erleichtern, sind diese nderungen bereits teilweise in npm-Versionen von 11.10.0 bis 11.16.0 mit Warnmechanismen implementiert. GitHub empfiehlt die Aktualisierung auf npm 11.16.0 oder eine neuere Version, um potenzielle Störungen in bestehenden Workflows zu identifizieren.

Technik und Auswirkungen

Durch die Ausführung eines standardmäßigen Installationsprozesses können Entwickler Warnungen zu blockierten Verhaltensweisen beobachten und den Wechsel zum neuen Opt-In-Modell einleiten. Dieser Wandel spiegelt einen breiteren branchenweiten Bestrebung wider, die Open-Source-Software-Lieferkette zu sichern.

Angreifer nutzen dabei zunehmend Techniken wie Typosquatting, Verwirrung bezüglich Abhängigkeiten und bösartige Paket-Updates. Indem npm v12 für die Skriptausführung und externe Quellen explizite Vertrauenserklärungen verlangt, führt es ein Modell nach dem Prinzip „Zero Trust" für die Abhängigkeitsinstallation ein.

Dies verringert das Risiko eines stillen Kompromittierens während routinemäßiger Entwicklungsarbeiten. Fr Organisationen, die stark auf Drittanbieter-Pakete angewiesen sind, erfordern diese nderungen Anpassungen der CI/CD-Pipelines und der Abhngigkeitsverwaltung.

Technik und Auswirkungen

Der Kompromiss ist jedoch ein sichererer und transparenterer Softwareentwicklungsprozess, der sich an modernen „secure-by-default"-Prinzipien orientiert. ### SvyTech-Einordnung Die Einführung des Opt-In-Modells für npm-Skripte markiert einen Paradigmenwechsel hin zu „secure-by-default"-Standards.

Während frühere Versionen die Ausführung äßig erlaubten, zwingt die neue Logik Entwickler nun zur aktiven Entscheidung für vertrauenswürdige Pakete.

Dies adressiert spezifische Angriffsvektoren, bei denen Angreifer `.npmrc`-Dateien in Git-Repositories manipulierten, um Systemdateien zu überschreiben – ein Szenario, das auch bei deaktivierten Skripten möglich war.

Technik und Auswirkungen

Die parallele Einschränkung ängigkeiten schließt weitere kritische Lücken in der Supply Chain. ### Was Leser daraus mitnehmen Entwickler sollten umgehend auf npm-Version 11.16.0 oder höher aktualisieren, um Warnungen zu erhalten und ihre Workflows vor der vollen Umsetzung in Version 12 zu testen.

Es ist ratsam, die Datei `package.json` zu prüfen und dort die Liste der genehmigten Skripte sowie die Einstellungen für `allow-git` und `allow-remote` explizit zu konfigurieren. Organisationen müssen ihre CI/CD-Pipelines anpassen, da der automatische Aufruf `node-gyp rebuild` standardmäßig blockiert wird und nun eine manuelle Freigabe erfordert.