GitHub führt gestuften npm-Publishing ein, um automatisierte Supply-Chain-Angriffe zu verhindern

Neben der gestuften Veröffentlichung hat GitHub

Neben der gestuften Veröffentlichung hat GitHub in npm 11.15.0 neue Sicherheitsflags für die Installationsphase eingeführt.

Diese Flags bieten eine feingranulare Steuerung darüber, ängigkeiten installiert werden dürfen, und tragen so dazu bei, bösartige oder unerwartete Quellen zu verhindern. –allow-file: Steuert Installationen aus lokalen Dateien oder Tarballs. –allow-remote: Beschränkt das Abrufen ängigkeiten aus entfernten URLs. –allow-directory: Regelt Installationen aus lokalen Verzeichnissen. –allow-git (bereits vorhanden): Steuert Installationen aus Git-Repositories.

Jedes Flag unterstützt zwei Modi: all (Standard) oder none und kann über.npmrc oder package.json konfiguriert werden. Diese Kontrollmechanismen ermöglichen Entwicklern, strenge Whitelist-Policies umzusetzen und die Angriffsfläche durch nicht-Registry-Quellen zu verringern, die häufig bei Abhängigkeitsverwirrungs- oder -einspritzungsangriffen genutzt werden.

Sicherheitsauswirkung GitHub bestätigte zudem, dass sich

Sicherheitsauswirkung GitHub bestätigte zudem, dass sich das Standardverhalten für –allow-git in der npm CLI-Version 12 ändern wird, was einen Wandel hin zu strengeren Sicherheitseinstellungen durch Standardkonfiguration signalisiert. Entwickler werden ermutigt, diese Einschränkungen frühzeitig durch manuelle Konfiguration der neuen Flaggen umzusetzen.

Beispielsweise kann eine Organisation ihre Umgebung so konfigurieren, dass alle nicht-Registry-Installationen blockiert werden: Set –allow-remote=none Set –allow-file=none Set –allow-directory=none Nur vertrauenswürdige Registry-Pakete zulassen Kombination mit staged publishing entsteht so eine kontrollierte Pipeline, bei der sowohl die Erstellung als auch der Verbrauch.

Diese Updates adressieren direkt gängige Angriffsvektoren in der Lieferkette, darunter: Einführung von bösartigem Code in CI/CD-Pipelines. Abhängigkeitsverwirrung über externe Quellen. Unbefugtes Veröffentlichen ührung menschlicher Validierung und strengerer Abhängigkeitskontrollen bewegt sich GitHub npm Richtung eines Zero-Trust-Modells für die Lieferkette.

Organisationen, die npm nutzen, werden dringend aufgefordert, auf npm CLI 11.15.0 oder eine neuere Version zu aktualisieren und ihre Workflows entsprechend anzupassen, um diese neuen Schutzmechanismen voll auszuschöpfen. Abi ist Security Editor und Reporter bei