​​​​​Npm-Schwachstelle "Package Planting": Vertrauen ist gut, Kontrolle ist besser
#Aquasec #GitHub #SupplyChainAttack #npm #paketmanager

Eine als Package Planting bezeichnete Sicherheitslücke im Paketmanager npm erlaubte laut Aquasec, die Vertrauenswürdigkeit bekannter Maintainer zu missbrauchen․

​​​​​Open-Source-Tool spürt Schadcode in Paketen auf npm, PyPI und Co auf
#OpenSSF #PyPi #Sicherheit #SupplyChain #Typosquatting #npm #paketmanager

Die OpenSSF hat mit Package Analysis ein Projekt gestartet, das Open-Source-Pakete auf verdächtiges Verhalten untersucht․

​​​​​Paketmanager: PyPI-Pakete wurden versehentlich mit Malware ausgeliefert
#Malware #PyPi #Python #paketmanager

Plattformen wie PyPI werden gern genutzt, um Softwarepakete mit Schadcode auszuliefern – bisweilen auch unabsichtlich, wie ein aktueller Fall zeigt․

​​​​​Schwachstelle in der API von Travis CI legt sensible Nutzerdaten offen
#Aquasec #GitHub #SupplyChainAttack #npm #paketmanager

Laut Aquasec eröffnet eine Sicherheitslücke in der kostenfreien Version des CI/CD-Tools Travis CI Angreifern den Zugriff auf Tokens, Nutzerdaten und Passwörter․

​​​​​Flut von Angriffen auf Paketmanager PyPI schleust Backdoor in Python-Pakete ein
#Backdoor #PyPi #Python #Sicherheit #SupplyChain #paketmanager

Nachdem zunächst Sonatype einen Angriff auf fünf Pakete im Python-Paketmanager entdeckt hat, füllt sich die CVE-Schwachstellendatenbank mit weiteren Vorfällen․

​​​​​Vorbereitung auf Krypto-Miner-Angriff: Hunderte verdächtige Pakete auf npm
#KryptoMining #Kryptowährung #SupplyChainAttack #npm #paketmanager

Auf dem Paketmanager wurden über 1000 Pakete automatisiert erstellt, die einen Supply-Chain-Angriff vorbereiten könnten․

​​​​​Paketmanager PyPI startet 2FA-Pflicht mit kostenloser Hardware und einer Panne
#PyPi #Python #Sicherheit #Softwareentwicklung #SupplyChain #paketmanager

Kritische Projekte müssen auf 2FA umsteigen, die Betreiber verteilen 4000 Titan-Sicherheitsschlüssel․ Ein wichtiges Paket ging unterdessen zeitweilig verloren․

​​​​​Open-Source-Tool von Microsoft erstellt "Software Bill of Materials"
#LinuxundOpenSource #Microsoft #SoftwareTeilelisten #SupplyChain #paketmanager #SBOM

Das SBOM-Tool Salus listet alle Komponenten und Dependencies von Projekten auf, um potenzielle Schwachstellen in der Software Supply Chain aufzuspüren․

​​​​​Ransomware in Python-Paketmanager PyPI: Die Rückkehr der Skriptkiddies
#PyPi #Python #Ransomware #paketmanager

Eine Reihe von Paketen hat auf Typosquatting gesetzt und Code verbreitet, der unter Windows Dateien verschlüsselt․ Die Motive sind schleierhaft․

​​​​​Paketmanager RubyGems․org: Multifaktor-Authentifzierung Pflicht für Top-Pakete
#MFA #PyPi #Ruby #RubyGems #SupplyChainAttack #npm #paketmanager

Mit der Umstellung auf Multifaktor-Authentifizierung für die Top-Downloads folgt der Ruby-Paketmanger den Vorbildern npm und PyPI․

​​​​​Unsichtbare npm-Malware umgeht Sicherheitsprüfungen mit manipulierten Versionen
#Malware #Manipulation #Security #Sicherheitslücken #npm #paketmanager

JFrog hat ein unerwartetes Verhalten der npm-Werkzeuge entdeckt: Für Pakete bestimmter Versionsformate zeigen sie wohl keine sicherheitsrelevanten Hinweise an․

​​​​​Jahresrückblick: Die gefragten Themen bei heise Developer 2022
#KIBildgenerator #Karriere #KünstlicheIntelligenz #Security #SoftwareSupplyChain #Softwareentwicklung #npm #paketmanager

Bei den News auf heise Developer waren dieses Jahr Security, KI-Systeme, der Arbeitsmarkt und nützliche Tools besonders gefragt․

​​​​​Open-Source-Editor Visual Studio Code: Fake Extensions lassen sich leicht tarnen
#Editor #MicrosoftVisualStudio #Security #Softwareentwicklung #Typosquatting #paketmanager

Sicherheitsforscher haben eine als Prettier getarnte Erweiterung im Marktplatz veröffentlicht, die es auf gut 1000 Downloads innerhalb von 48 Stunden brachte․

​​​​​Mac-Paketmanager Homebrew: Version 4․0 verspricht schlankere Updates
#Brew #Homebrew #LinuxundOpenSource #MacOSX #Pakete #paketmanager

Statt Git-Klonen nutzt der Paketmanager Homebrew jetzt JSON-Downloads․ Das soll Aktualisierungen deutlich beschleunigen․

​​​​​Software Supply Chain: Googles deps․dev-API ermittelt Open-Source-Dependencies
#Dependencies #DependencyManagement #Google #SCM #SoftwareSupplyChain #SoftwareTeilelisten #Softwareentwicklung #gRPC #paketmanager #SBOM

Eine neue API gibt Zugriff auf die Metadaten des Projekts Open Source Insights von Google, das Dependencies für Open-Source-Pakete darstellt․

​​​​​PHP-Registry Packagist: Sicherheitsforscher geht mit Attacke auf Jobsuche
#DependencyManagement #PHP #Programmiersprachen #Security #SoftwareSupplyChain #paketmanager

Vier Accounts und vierzehn Pakete hat ein Angreifer übernommen, der offenbar auf die Weise nach einer Stelle als Sicherheitsforscher sucht․

​​​​​Zu viel Schadcode: Paket-Registry PyPI sperrte vorübergehend alle neuen Projekte
#PyPi #Python #Security #SoftwareSupplyChain #paketmanager

Um dem Ansturm neuer User und Projekte mit Schadcode Herr zu werden, haben die Betreiber der Python-Paket-Registry die Aufnahme neuer Projekte gestoppt․

​​​​​Paket-Registry PyPI: US-Behörden verlangten Herausgabe von Nutzerdaten
#Behörden #PyPi #Python #USJustizministerium #paketmanager

Das US-Justizministerium verlangte die Herausgabe umfangreicher Daten zu fünf PyPI-Usern․ Die Registry-Betreiber überarbeiten nun ihre Datenschutzvorgaben․

​​​​​Open-Source-Pakete unter macOS und Linux installieren: pkgx erreicht Version 1․0
#Homebrew #OpenSource #macOS #paketmanager #pkgx

Der Entwickler des Paketmanagers Homebrew für macOS und Linux hat pkgx 1․0 veröffentlicht․ Die neue Binary installiert Pakete nicht, sondern setzt auf Caching․

​​​​​heise+ | Paketmanager Nix ausprobiert, Teil 2: Softwarepakete managen und bauen
#Nix #Programmierung #Softwareentwicklung #paketmanager

In dieser Einführung in den Paketmanager Nix für Entwickler bohren wir das Beispielprojekt auf und zeigen, was möglich ist․