SecureChain für Open-Source-Software

Wichtige Erkenntnisse: Bei der Ersetzung einer Frachtquelle wird davon ausgegangen, dass die Ersetzung denselben Kisteninhalt betrifft, weshalb keine Änderungen an der Projektdatei erforderlich sind. Bei der Überprüfung auf Registrierungsseite wird eine Kiste danach beurteilt, was sie…

Das Wichtigste in Kürze: Packagist indexiert Git-Tags, anstatt Artefakte zu hosten. Daher könnte eine veröffentlichte Version bis Juli 2026 unbemerkt auf einen anderen Commit umgeleitet werden. Zwei Vorfälle im Jahr 2026 zeigten, dass...

Das Wichtigste in Kürze: Ein veraltetes Paket bleibt über Packagist weiterhin installierbar – trotz offener CVEs und allem – denn die Behebung von Sicherheitslücken in Paketen gehörte nie zu den Aufgaben von Packagist. SecureChain erstellt PHP-Pakete vor der Installation neu und überprüft sie, um anschließend...

Das Wichtigste in Kürze: Public PyPI überprüft, wer ein Paket veröffentlicht hat, nicht aber, was das Paket tut. SecureChain prüft und kompiliert Pakete neu, bevor sie in Ihre Umgebung gelangen. Neu kompilierte Artefakte verfügen über neue Hash-Werte, daher...

Eine CVE-ID taucht in Ihrem Terminal auf, zugeordnet zu einem Paket, das Sie nie bewusst installiert haben, und der erste Reflex ist, das Schlimmste anzunehmen. Das kennen wir alle. Diese...

Das Wichtigste auf einen Blick: Socket blockiert schädliche Pakete unabhängig von der Tiefe der Abhängigkeiten und portiert nun Patches in neun Ökosysteme zurück. Sonatype Firewall filtert eingehenden Datenverkehr, leitet Sie jedoch zu einem Upgrade weiter, anstatt...

Wichtigste Erkenntnisse: Ein Paket, das in einem Namensraumsegment neben „Jackson“ veröffentlicht wurde, stellte im Dezember 2025 Cobalt Strike über Maven Central bereit; es war kein CVE beteiligt. Maven Central überprüft die Kontrolle über einen Namensraum…

Das Wichtigste auf einen Blick: Ein bösartiges „build.rs“-Skript wird während des „cargo build“-Vorgangs mit den Berechtigungen des Prozesses ausgeführt, der Cargo aufgerufen hat. Die stabile Version von Cargo bietet keine unterstützte Möglichkeit, einen Abhängigkeitsbaum zu kompilieren...

Wichtige Erkenntnisse: Bei festen Versionen durchsucht Maven die Repositorys der Reihe nach und übernimmt die Koordinaten aus dem ersten Repository, in dem diese vorhanden sind. Die POM einer Abhängigkeit selbst kann Repositorys zu Ihrem Build hinzufügen, ...

Wichtige Erkenntnisse: Ein npm-Audit kann Ihren Verzeichnisbaum nur mit den Daten aus den Sicherheitshinweisen abgleichen, sodass eine vor einer Stunde veröffentlichte bösartige Version nicht erkannt wird. Um diese Lücke zu schließen, bedarf es mehr als nur eines…

Wichtige Erkenntnisse: Cargo Audit kennt nur Warnmeldungen, die bereits von anderen gemeldet wurden. Build-Skripte und Proc-Makros führen zur Kompilierungszeit beliebigen Code aus, und in der stabilen Cargo-Version lässt sich dies nicht deaktivieren. Ein...