Paket menejerlarida xavfsizlik yangilanishlari: Hex, Composer va pnpm
Hex, Composer, pnpm va uv paket menejerlari muhim xavfsizlik yangilanishlarini oldi: ma'lumotlar sizishidan himoya va sertifikatlarni tekshirish.
Mashhur paket menejerlari va dasturiy ta'minot yig'ish tizimlari ishlab chiquvchilari kod yetkazib berish zanjirini himoya qilishga qaratilgan muhim xavfsizlik yangilanishlarini taqdim etdi. O'zgarishlar Hex, Composer, pnpm, uv, sbt va rebar3 vositalariga taalluqli bo'lib, ular tanqidiy zaifliklarni yopdi.
- Hex 2.6 qaramliklar auditini kengaytirdi va CI muhitida kalitlar bilan ishlashni o'zgartirdi.
- Composer 2.11.0 maxfiy ma'lumotlar sizishini bartaraf etdi va yangi versiyalar o'rnatilishini kechiktirdi.
- pnpm, uv va rebar3 eMudhra hodisasidan keyin sertifikatlarga bo'lgan ishonchni qayta ko'rib chiqdi.
Hex 2.6 va Composer dasturlaridagi yangilanishlar
23-oktabrda chiqarilgan Hex 2.6 boshqa siyosat cheklovlarini olib tashlamagan holda ma'lum xavfsizlik ogohlantirishini hal qilish imkonini beradi. mix hex.audit --policy buyrug'i qaramliklarni tekshiradi, policy_enforce_lock: true sozlamasi esa paketlarni olishda majburiy tekshiruvni yoqadi. CI'da endi 30 daqiqagacha amal qiladigan vaqtinchalik tokendan foydalaniladi.
29-oktabrda chiqqan barqaror Composer 2.11.0 yangi versiyalarni o'rnatishga kechikish funksiyasini qo'shdi. Composer begona domenlarga hisob ma'lumotlarini yuborishni to'xtatdi va composer.lock faylida tokenlar sizib chiqishini tuzatdi. Shuningdek, skriptlarni ishga tushirishda ma'lumotlarni ekranlash mexanizmlari yaxshilandi.
Shuningdek o‘qingGoogle Finlandiyadagi sun'iy intellekt markazi ishi bo'yicha jinoiy tergovga duch keldipnpm, sbt va sertifikatlardagi o'zgarishlar
pnpm 11.28.9 versiyasida reyestrdan kelgan javobni qayta ishlashdagi xatoliklar tuzatildi. sbt 1.13.1 va 2.0.12 versiyalarida arxivlarni ochish paytidagi zaiflik qayta bartaraf etildi. GitHub Actions komponentlar yig'ilishini mustahkamlash uchun umumiy lock-fayllarini joriy qildi.
eMudhra markazi bilan bog'liq hodisadan so'ng dasturiy muhitlar yangilandi. pnpm dasturiy yig'malari Node.js'ni yangilab, xavfli sertifikatlardan voz kechdi. uv 0.13.5 versiyasida CPython yig'malari yangilandi, Erlang uchun rebar3 esa tizimli ildiz omboriga o'tdi.
Dasturchilar uchun ahamiyati
Ushbu yangilanishlar dasturiy ta'minot zanjiri xavfsizligini ta'minlash muhimligini ko'rsatadi. Sertifikatlar bilan ishlash qoidalarining qat'iylashishi va vaqtinchalik tokenlarning joriy etilishi xavflarni kamaytiradi. Jamoalarga o'z vositalarini yangilash tavsiya etiladi.
Manba: Все новости подряд
