pnpm закрыл обход правил запуска сборочных скриптов, uv, Hex и rustup обновили доверенные сертификаты после инцидента eMudhra, а GitHub представил прокси для проверки npm-пакетов до загрузки.
pnpm теперь сверяет имя пакета с ответом реестра
Вышедший 21 октября pnpm 12.15 отклоняет метаданные, если имя пакета в ответе реестра отличается от запрошенного. Установка завершается ошибкой ERR_PNPM_REGISTRY_NAME_MISMATCH. То же исправление получила ветка 11 в версии 11.28.7.
Раньше pnpm устанавливал пакет под именем из ответа реестра, и правила allowBuilds для запрошенного пакета к нему не применялись. Получалось, что ответ реестра мог нарушить применение локальных ограничений на запуск скриптов. Теперь при несовпадении имён pnpm останавливает установку.
Также в обеих ветках появилась и защита от чрезмерно больших архивов. Настройка maxTarballUnpackedSize ограничивает суммарный размер файлов одного пакета после распаковки. По умолчанию предел составляет 4 ГиБ.
uv, Hex и rustup обновили доверенные сертификаты
После компрометации промежуточных удостоверяющих центров eMudhra 20 октября вышли версии uv 0.13.4, Hex 2.5.4 и rustup 1.29.2. Для HTTPS-соединений эти программы используют собственные наборы доверенных сертификатов, поэтому обновить их нужно отдельно от браузера.
В uv корневой сертификат emSign ECC Root CA - G3 удалён из встроенного набора доверенных сертификатов. Он служил основанием доверия к сертификатам серверов из цепочки eMudhra. После компрометации ключей промежуточных центров злоумышленник мог использовать эту цепочку для подмены HTTPS-сервера.
Чтобы uv проверял сертификаты по хранилищу операционной системы, необходимо активировать флаг --system-certs. Переменные окружения SSL_CERT_FILE и SSL_CERT_DIR задают путь к собственному файлу или каталогу с сертификатами. Если вы выбрали один из этих вариантов, то проверьте, что выбранное хранилище тоже перестало доверять скомпрометированной цепочке.
Hex 2.5.4 прекратил доверять трём корневым сертификатам emSign, а в rustup 1.29.2 обновлены зависимости, отвечающие за проверку сертификатов. Исправления закрывают возможность подмены HTTPS-серверов через скомпрометированную цепочку доверия.
GitHub теперь проверяет npm-пакеты на пути к сборке
20 октября GitHub открыл публичный предпросмотр package firewall для GitHub Enterprise Cloud. Сервис работает как прокси между рабочей станцией или CI и реестром npm – через него проходят запросы метаданных и загрузки пакетов.
В политике администратор может задать минимальный возраст версии, проверки по GitHub Advisory Database на вредоносность и уязвимости, а также проверки изменений в подтверждениях происхождения пакета. Клиенты должны обращаться к реестру через firewall. Если CI или рабочая станция продолжает скачивать пакеты напрямую, то заданная политика к этим запросам не применяется.
Пока поддерживаются только npm-пакеты. Сервис бесплатен на время предпросмотра, а после общего запуска GitHub планирует оплату по использованию. Перед подключением стоит проверить настройки реестров в CI, на рабочих станциях и у агентов разработки.
