🔵 عنوان مقاله
Ruby Central's Attack on RubyGems (2 minute read)
🟢 خلاصه مقاله:
Ellen Dash (duckinator)، یکی از نگهدارندگان اصلی RubyGems، پس از آنکه Ruby Central کنترل سازمان GitHub مربوط به RubyGems را بهصورت خصمانه در دست گرفت، از Ruby Central استعفا داد. در ۹ سپتامبر، یکی از نگهدارندگان RubyGems، Marty Haught از Ruby Central را به GitHub enterprise پروژه افزود، نام آن را به “Ruby Central” تغییر داد و سایر نگهدارندگان را حذف کرد؛ سپس آنها را بازگرداند، اما مالکیت سازمان در اختیار Marty Haught باقی ماند. بعدها در همان ماه، برخی نگهدارندگان دوباره حذف شدند. این رویداد نگرانیهای جدی درباره حاکمیت پروژه، شفافیت، نمایندگی جامعه و امنیت زنجیره تأمین در اکوسیستم Ruby برانگیخت و درخواستها برای فرآیندهای شفاف و کنترل دسترسی روشنتر را افزایش داد.
#RubyGems #RubyCentral #Ruby #GitHub #OpenSource #Governance #Maintainers #SupplyChainSecurity
🟣لینک مقاله:
https://pup-e.com/goodbye-rubygems.pdf?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Ruby Central's Attack on RubyGems (2 minute read)
🟢 خلاصه مقاله:
Ellen Dash (duckinator)، یکی از نگهدارندگان اصلی RubyGems، پس از آنکه Ruby Central کنترل سازمان GitHub مربوط به RubyGems را بهصورت خصمانه در دست گرفت، از Ruby Central استعفا داد. در ۹ سپتامبر، یکی از نگهدارندگان RubyGems، Marty Haught از Ruby Central را به GitHub enterprise پروژه افزود، نام آن را به “Ruby Central” تغییر داد و سایر نگهدارندگان را حذف کرد؛ سپس آنها را بازگرداند، اما مالکیت سازمان در اختیار Marty Haught باقی ماند. بعدها در همان ماه، برخی نگهدارندگان دوباره حذف شدند. این رویداد نگرانیهای جدی درباره حاکمیت پروژه، شفافیت، نمایندگی جامعه و امنیت زنجیره تأمین در اکوسیستم Ruby برانگیخت و درخواستها برای فرآیندهای شفاف و کنترل دسترسی روشنتر را افزایش داد.
#RubyGems #RubyCentral #Ruby #GitHub #OpenSource #Governance #Maintainers #SupplyChainSecurity
🟣لینک مقاله:
https://pup-e.com/goodbye-rubygems.pdf?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
❤1
🔵 عنوان مقاله
Mitigating supply chain attacks (2 minute read)
🟢 خلاصه مقاله:
pnpm v10 برای کاهش ریسک حملات زنجیره تأمین دو تغییر مهم اعمال میکند: ۱) اجرای خودکار postinstall در وابستگیها بهصورت پیشفرض غیرفعال شده و فقط بستههایی که واقعاً به اسکریپتهای ساخت نیاز دارند با اجازه صریح (whitelist/allowlist) اجرا میشوند؛ ۲) تنظیم minimumReleaseAge نصب نسخههای تازهمنتشرشده را برای مدتی بهتعویق میاندازد تا قبل از نصب، زمان لازم برای شناسایی و گزارش بستههای مخرب فراهم شود. حاصل این رویکرد، کاهش اجرای ناخواسته کد و ایجاد یک حاشیه امن برای شناسایی تهدیدات است، با هزینهای اندک در سرعت بهروزرسانی. راهکار عملی برای تیمها: مشخصکردن بستههایی که واقعاً به اسکریپت نیاز دارند و allowlist کردن آنها، و تنظیم حد انتظار مناسب برای minimumReleaseAge بر اساس سطح ریسک محیط توسعه و تولید.
#pnpm #SupplyChainSecurity #OpenSourceSecurity #JavaScript #NodeJS #DevSecOps #PackageManagers #SoftwareSupplyChain
🟣لینک مقاله:
https://pnpm.io/supply-chain-security?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Mitigating supply chain attacks (2 minute read)
🟢 خلاصه مقاله:
pnpm v10 برای کاهش ریسک حملات زنجیره تأمین دو تغییر مهم اعمال میکند: ۱) اجرای خودکار postinstall در وابستگیها بهصورت پیشفرض غیرفعال شده و فقط بستههایی که واقعاً به اسکریپتهای ساخت نیاز دارند با اجازه صریح (whitelist/allowlist) اجرا میشوند؛ ۲) تنظیم minimumReleaseAge نصب نسخههای تازهمنتشرشده را برای مدتی بهتعویق میاندازد تا قبل از نصب، زمان لازم برای شناسایی و گزارش بستههای مخرب فراهم شود. حاصل این رویکرد، کاهش اجرای ناخواسته کد و ایجاد یک حاشیه امن برای شناسایی تهدیدات است، با هزینهای اندک در سرعت بهروزرسانی. راهکار عملی برای تیمها: مشخصکردن بستههایی که واقعاً به اسکریپت نیاز دارند و allowlist کردن آنها، و تنظیم حد انتظار مناسب برای minimumReleaseAge بر اساس سطح ریسک محیط توسعه و تولید.
#pnpm #SupplyChainSecurity #OpenSourceSecurity #JavaScript #NodeJS #DevSecOps #PackageManagers #SoftwareSupplyChain
🟣لینک مقاله:
https://pnpm.io/supply-chain-security?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
pnpm.io
Mitigating supply chain attacks | pnpm
Sometimes npm packages are compromised and published with malware. Luckily, there are companies like [Socket], [Snyk], [Xygeni] and [Aikido] that detect these compromised packages early. The npm registry usually removes the affected versions within hours.…
🔵 عنوان مقاله
trdl (GitHub Repo)
🟢 خلاصه مقاله:
خلاصهای متنباز به نام trdl با تمرکز بر «تحویل مطمئن» آخرین مرحلهی توزیع نرمافزار را امن میکند: رساندن بهروزرسانیها از Git به کاربر نهایی با کانالی قابلاعتماد و قابلراستیآزمایی. این راهکار با اتصال طبیعی به فرآیندهای مبتنی بر Git و ادغام در اتوماسیون انتشار، تضمین میکند آنچه نصب میشود همان چیزی است که نگهدارندگان منتشر کردهاند. با تکیه بر امضا و راستیآزمایی رمزنگاری، اصالت، تمامیت و مبدأ بهروزرسانیها قبل از اعمال بررسی میشود؛ در نتیجه ریسکهای زنجیره تأمین کاهش مییابد و امکان انتشارهای قابلممیزی، بازگشت نسخه و سیاستهای بهروزرسانی (مانند stable یا pre-release) فراهم میشود. trdl متنباز است، میتواند self-hosted اجرا شود، و از طریق GitHub Repo در دسترس است؛ کاربران و تیمهای عملیاتی نیز میتوانند با یک رابط ساده مانند CLI بهروزرسانیهای مورد اعتماد را دریافت و اعمال کنند.
#trdl #SupplyChainSecurity #SecureUpdates #Git #OpenSource #DevOps #SoftwareDelivery #CI/CD
🟣لینک مقاله:
https://github.com/werf/trdl?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
trdl (GitHub Repo)
🟢 خلاصه مقاله:
خلاصهای متنباز به نام trdl با تمرکز بر «تحویل مطمئن» آخرین مرحلهی توزیع نرمافزار را امن میکند: رساندن بهروزرسانیها از Git به کاربر نهایی با کانالی قابلاعتماد و قابلراستیآزمایی. این راهکار با اتصال طبیعی به فرآیندهای مبتنی بر Git و ادغام در اتوماسیون انتشار، تضمین میکند آنچه نصب میشود همان چیزی است که نگهدارندگان منتشر کردهاند. با تکیه بر امضا و راستیآزمایی رمزنگاری، اصالت، تمامیت و مبدأ بهروزرسانیها قبل از اعمال بررسی میشود؛ در نتیجه ریسکهای زنجیره تأمین کاهش مییابد و امکان انتشارهای قابلممیزی، بازگشت نسخه و سیاستهای بهروزرسانی (مانند stable یا pre-release) فراهم میشود. trdl متنباز است، میتواند self-hosted اجرا شود، و از طریق GitHub Repo در دسترس است؛ کاربران و تیمهای عملیاتی نیز میتوانند با یک رابط ساده مانند CLI بهروزرسانیهای مورد اعتماد را دریافت و اعمال کنند.
#trdl #SupplyChainSecurity #SecureUpdates #Git #OpenSource #DevOps #SoftwareDelivery #CI/CD
🟣لینک مقاله:
https://github.com/werf/trdl?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
GitHub
GitHub - werf/trdl: The universal solution for delivering your software updates securely from a trusted The Update Framework (TUF)…
The universal solution for delivering your software updates securely from a trusted The Update Framework (TUF) repository. - werf/trdl
🔵 عنوان مقاله
Dismantling a Critical Supply Chain Risk in VSCode Extension Marketplaces (7 minute read)
🟢 خلاصه مقاله:
بیش از ۵۵۰ راز حساس در افزونههای عمومی VSCode افشا شد، از جمله AWS و GitHub tokens. علت اصلی، مدیریت ناامن فایلها در فرایند توسعه و انتشار بود؛ مشکلی که میتواند به مهاجمان امکان دهد با سوءاستفاده از توکنها بهروزرسانیهای مخرب منتشر کنند و حملات زنجیرهتأمین را آغاز کنند. در واکنش، پلتفرمها توکنهای آسیبدیده را باطل کردند، ناشران را مطلع ساختند و اسکن خودکار را تقویت کردند. این حادثه بر ضرورت ایمنسازی اکوسیستم افزونهها تأکید دارد: حذف فایلهای حساس از بستهها، استفاده از secret managers بهجای درج مستقیم کلیدها، محدود کردن سطح دسترسی توکنها، و اسکن مداوم برای کشف نشت رازها.
#SupplyChainSecurity #VSCode #DevSecOps #SecretsManagement #AppSec #TokenSecurity #SoftwareSupplyChain #SecureCoding
🟣لینک مقاله:
https://www.wiz.io/blog/supply-chain-risk-in-vscode-extension-marketplaces?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Dismantling a Critical Supply Chain Risk in VSCode Extension Marketplaces (7 minute read)
🟢 خلاصه مقاله:
بیش از ۵۵۰ راز حساس در افزونههای عمومی VSCode افشا شد، از جمله AWS و GitHub tokens. علت اصلی، مدیریت ناامن فایلها در فرایند توسعه و انتشار بود؛ مشکلی که میتواند به مهاجمان امکان دهد با سوءاستفاده از توکنها بهروزرسانیهای مخرب منتشر کنند و حملات زنجیرهتأمین را آغاز کنند. در واکنش، پلتفرمها توکنهای آسیبدیده را باطل کردند، ناشران را مطلع ساختند و اسکن خودکار را تقویت کردند. این حادثه بر ضرورت ایمنسازی اکوسیستم افزونهها تأکید دارد: حذف فایلهای حساس از بستهها، استفاده از secret managers بهجای درج مستقیم کلیدها، محدود کردن سطح دسترسی توکنها، و اسکن مداوم برای کشف نشت رازها.
#SupplyChainSecurity #VSCode #DevSecOps #SecretsManagement #AppSec #TokenSecurity #SoftwareSupplyChain #SecureCoding
🟣لینک مقاله:
https://www.wiz.io/blog/supply-chain-risk-in-vscode-extension-marketplaces?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
wiz.io
Supply Chain Risk in VSCode Extension Marketplaces | Wiz Blog
Wiz Research uncovered 500+ leaked secrets in VSCode and Open VSX extensions, exposing 150K installs to risk. Learn what happened and how it was fixed.