Обзор обновлений безопасности пакетных менеджеров: Hex, Composer и pnpm

Разработчики популярных пакетных менеджеров и систем сборки выпустили серию важных обновлений безопасности, направленных на защиту цепочки поставок кода. Изменения затронули инструменты Hex, Composer, pnpm, uv, sbt и rebar3, закрыв критические уязвимости и добавив механизмы контроля зависимостей.

• Hex 2.6 расширил аудит зависимостей и изменил работу с ключами в CI.
• Composer 2.11.0 защитил от утечек учетных данных и задерживает свежие версии.
• pnpm, uv и rebar3 обновили доверие к сертификатам после инцидента eMudhra.

Обновления безопасности в Hex 2.6 и Composer

Вышедший 23 октября Hex 2.6 позволяет разрешить конкретное предупреждение безопасности или обход периода ожидания, не снимая остальные ограничения политики. Команда mix hex.audit --policy проверяет зафиксированные зависимости, а параметр policy_enforce_lock: true включает обязательную проверку при получении пакетов. В CI теперь используется временный токен со сроком действия до 30 минут вместо старых ключей организаций, которые перестанут работать 21 января 2027 года.

Стабильный Composer 2.11.0 от 29 октября получил задержку установки свежих версий пакетов, которая помогает избежать вредоносных обновлений. Composer перестал отправлять заголовки с учетными данными сторонним доменам и устранил утечку токенов в composer.lock, из-за которой приватные ключи могли попасть в историю проекта. Также были улучшены механизмы экранирования данных при создании запускающих обёрток.

Исправления в pnpm, sbt и новые требования к сертификатам

Версия pnpm 11.28.9 исправила аварийное завершение при обработке ответов реестра и скорректировала работу аудита с исключениями. В системах сборки sbt 1.13.1 и 2.0.12 повторно закрыли уязвимость распаковки архивов, которая позволяла записывать файлы за пределами целевого каталога. GitHub Actions внедрил общие lock-файлы для закрепления коммитов компонентов сборки.

После инцидента с удостоверяющим центром eMudhra разработчики обновили встроенные среды. Автономные сборки pnpm 11.28.8 и 10.34.8 обновили Node.js, отказавшись от скомпрометированных сертификатов. В uv 0.13.5 обновлены сборки CPython с исправленным pip, а менеджер rebar3 для Erlang перешел на использование системного корневого хранилища сертификатов.

Значение обновлений для разработчиков и экосистемы

Эти изменения подчеркивают растущую важность безопасности цепочки поставок программного обеспечения. Ужесточение правил работы с сертификатами, введение задержек на установку новых версий и ограничение сроков жизни CI-токенов минимизируют риски атак на разработчиков. Командам рекомендуется обновить используемые инструменты и проверить конфигурации проектов.