SecureChain für Open-Source-Software

Das Wichtigste in Kürze: Eine Versionserhöhung ist kein Patch, und Upgrades von Abhängigkeiten können potenziell kompatibilitätsbeeinträchtigende Änderungen mit sich bringen. Erzwungene Upgrades können bereits bei der Erstellung lautstark fehlschlagen oder subtilere Regressionen zur Laufzeit verursachen...

Wichtige Erkenntnisse: Die Hash-Werte des Go-Moduls beziehen sich auf Dateinamen und Inhalte, nicht auf die ZIP-Kodierung, sodass ein unabhängig neu erstelltes Archiv exakt übereinstimmen kann. Aus diesem Grund kann GOPROXY auf eine gefilterte Registrierungsdatenbank verweisen...

Die Kurzfassung Zur Langfassung springen ↓ Was: Am 20. August 2026 nutzte ein Angreifer das crates.io-Konto eines legitimen Betreuers, um bösartige Versionen von arrayref 0.3.10, append-only-vec... zu veröffentlichen.

Das Wichtigste auf einen Blick: Ein Go-Modul-Proxy dient dazu, Dateien bereitzustellen, und nicht dazu, zu beurteilen, ob diese Dateien sicher ausgeführt werden können. Ein einzelnes Zeichen in Ihrer GOPROXY-Zeichenkette entscheidet darüber, ob ein...

Wichtige Erkenntnisse: Go identifiziert ein Paket anhand seines Speicherorts und nicht anhand eines Namens, der einer bestimmten Person gehört. Daher kann ein abgelaufener GitHub-Benutzername zu einem Problem in der Lieferkette werden, wenn...

Das Wichtigste in Kürze: Ein privates PyPI-Repository gibt Aufschluss darüber, woher Pakete stammen, nicht aber darüber, ob ihre Installation sicher ist. Das Hinzufügen von „–extra-index-url“ anstelle der Angabe eines einzelnen Indexes über „–index-url“ öffnet die Sicherheitslücke erneut...

Das Wichtigste auf einen Blick: PHP gibt die End-of-Life-Termine bereits Jahre im Voraus bekannt, während Composer-Pakete keinerlei Ankündigung machen, wenn ein Betreuer nicht mehr aktiv ist. Eine aufgegebene Abhängigkeit ist oft der Grund dafür, dass ein PHP...

Das Wichtigste in Kürze: Hades enthielt .pth-Start-Hooks, sodass die Payload nicht nur einmal bei der Installation, sondern bei jedem Start von Python ausgelöst wurde. Der gleiche Trick war bereits elf Wochen zuvor in LiteLLM enthalten...

Das Wichtigste in Kürze: Die bösartigen Axios-Versionen waren nur etwa drei Stunden lang im Umlauf, sodass Installationen, die vor der Entdeckung erfolgten, nicht von den auf Sicherheitshinweisen basierenden Abwehrmaßnahmen profitieren konnten. Die Anzahl der Downloads gibt Aufschluss über die Verbreitung, nicht über...

Das Wichtigste in Kürze: Zwischen März und Juli 2026 gab es sechs bestätigte Angriffe auf die Lieferkette, die npm, PyPI, Go-Module und Packagist betrafen. Bei keinem dieser Angriffe war ein Fehler im Anwendungscode eines Nutzers erforderlich, sondern lediglich...

Das Wichtigste auf einen Blick: Die meisten Tools zur Sicherheit der Software-Lieferkette zeigen Ihnen, was bereits in Ihren Build gelangt ist, und nur sehr wenige verhindern von vornherein, dass es überhaupt dorthin gelangt. Die...