Comments 8
1300 / 6349287 = 0.999795 то есть 99.98% владельцев репозиториев могут спать спокойно?
Могут, если в их коде нет ссылок на уязвимые. И великан Галиаф был повержен небольшим Давидом)
Большая часть из уязвимых репозитариев это «hello world” проекты?
Это действительно но страшная угроза….
Давно уже писали что ставить код из он Лайн репозитарев так себе идея. Для вас форе придумали, формацией и ставьте из «своих» репозитариев. А то в один прекрасный момент автор новую фичу выкатит которая с вами не совместима и привет.
99.98%
Какое-то количество уже могло быть УЖЕ зарегистрировано повторно и данная методика их не покажет.
Так себе решение: если валидный репозиторий исчез и на следующий день заменен на фейковый, то шансов это обнаружить практически нет. А выход простой и очевидный - не тащить все подряд в свой проект и использовать зависимости только из «белого списка», то есть такие, которые существуют давно и известны. Скажем, если репозиторий библиотеки numpy внезапно исчезнет (по любой причине) - мы в тот же день прочитаем это в новостях на всех технических ресурсах. Если проект не «одноразовый», то поддержка низкокачественных зависимостей и так обойдется дороже, чем поискать качественные библиотеки или написать нужный функционал самому.
Эксплойтить, конечно же!
На GitHub больше 1 000 уязвимых репозиториев: в чём суть угрозы и что с этим делать