Übersicht
-
Funktion: Im Rahmen des Dependency-Scannings kennzeichnet Corgea bekanntermaßen bösartige und kompromittierte Pakete in den Abhängigkeiten Ihres Projekts. Anders als bei einer gewöhnlichen Schwachstelle wurde ein bösartiges Paket absichtlich erstellt oder manipuliert, um installierende Systeme zu schädigen – etwa durch Datenexfiltration, Diebstahl von Zugangsdaten, Backdoors oder Cryptomining.
-
Zielgruppe: Security-Teams und Entwickler, die ihre Software-Lieferkette vor bösartigen Open-Source-Paketen schützen möchten.
Was es erkennt
Die Erkennung umfasst unter anderem folgende bekanntermaßen schädliche Pakete:
- Typosquats: Pakete, die so benannt sind, dass sie beliebte Bibliotheken nachahmen, um versehentlich installiert zu werden
- Übernommene Releases: Legitime Pakete, deren Maintainer-Konto oder Pipeline kompromittiert wurde, um eine bösartige Version zu veröffentlichen
- Versionen mit Backdoor: Paketversionen mit absichtlich versteckten bösartigen Funktionen
- Protestware und Sabotage: Pakete, die absichtlich modifiziert wurden, um die Systeme, die sie installieren, zu stören oder zu beschädigen
So funktioniert es
Die Erkennung bösartiger Pakete läuft als Teil von Dependency Scanning (SCA). Corgea löst Ihre direkten und transitiven Abhängigkeiten auf und überprüft sie anhand autoritärer Datenbanken bekannter bösartiger Pakete, einschließlich der OpenSSF Malicious Packages-Datenbank und zugehöriger Advisory-Feeds.
Bei einer Übereinstimmung zeigt Corgea den Befund zusammen mit den übrigen Dependency-Befunden an.
Unterstützte Ökosysteme
Die Erkennung bösartiger Pakete gilt für dieselben Paket-Ökosysteme wie das Dependency Scanning, einschließlich npm, PyPI, RubyGems, Maven und weitere. Siehe die vollständige Liste in Dependency Scanning (SCA).
Wie es angezeigt wird
- Bösartige Pakete erscheinen in Ihren Scanergebnissen neben anderen Abhängigkeitsfunden.
- Sie werden als vorrangige Probleme behandelt, weil ein bestätigtes bösartiges Paket eine aktive Bedrohung und keine potenzielle Schwäche darstellt.
- Das betroffene Paket, die Version und das Manifest, das es eingeführt hat, werden angezeigt, damit Sie nachvollziehen können, woher es stammt.
Behebung
Ein als bösartig bestätigtes Paket sollte als dringendes Problem behandelt werden. Entfernen Sie es so schnell wie möglich.
- Entfernen oder ersetzen Sie das bösartige Paket durch eine vertrauenswürdige Alternative.
- Wenn das bösartige Verhalten in einer bestimmten Version eingeführt wurde, pinnen Sie eine als sicher bekannte Version, die vor der Kompromittierung veröffentlicht wurde.
- Für transitive Abhängigkeiten identifizieren Sie das übergeordnete Paket, das sie eingebunden hat, und aktualisieren oder ersetzen Sie dieses übergeordnete Paket. Siehe transitive Abhängigkeiten, um zu erfahren, wie der Abhängigkeitspfad verfolgt werden kann.
- Rotieren Sie alle Secrets und Zugangsdaten, die während der Installation des Pakets möglicherweise offengelegt wurden.
Verwandt
