GitHub anuncia mudanças de segurança no npm para combater ataques
O GitHub revelou que a versão 12 do npm, prevista para o próximo mês, implementará mudanças significativas focadas na segurança, visando bloquear ataques à cadeia de suprimentos que exploram comportamentos do comando ’npm install’. Este comando é amplamente utilizado por desenvolvedores para baixar e instalar dependências de projetos, além de executar scripts relacionados à instalação. Os atacantes visam essa ação devido ao potencial de execução automática de código durante a instalação de pacotes.
Com as novas diretrizes, scripts de pré-instalação, instalação e pós-instalação não serão executados automaticamente a menos que tenham sido explicitamente aprovados. Isso se aplica também a construções de módulos nativos e scripts de preparação de dependências locais. Além disso, o npm não buscará mais dependências de repositórios Git ou URLs remotas sem permissão explícita, eliminando caminhos de execução de código malicioso. Essas mudanças visam reduzir significativamente os ataques à cadeia de suprimentos, que têm se tornado cada vez mais comuns, como demonstrado em campanhas recentes que comprometeram pacotes populares. O GitHub recomenda que os desenvolvedores atualizem para a versão 11.16.0 ou superior para se prepararem para essas mudanças, que exigirão uma revisão cuidadosa das dependências e fluxos de trabalho antes da atualização para a versão 12.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).