pnpm, uv та rustup закрили вразливості скриптів і сертифікатів

Низка оновлень безпеки у популярних інструментах розробки вкотре нагадала, наскільки вразливими залишаються базові механізми довіри в ланцюжку постачання коду. Пакункові менеджери виправляють помилки обробки відповідей від реєстрів, оновлюють вбудовані кореневі сертифікати та впроваджують превентивну фільтрацію залежностей.

21 жовтня вийшли версії pnpm 12.15 та 11.28.7, які усунули можливість обходу правил виконання складальних скриптів. Раніше менеджер довіряв метаданим від реєстру: якщо повернуте сервером ім'я відрізнялося від запитаного, пакет установлювався під новою назвою, а локальні обмеження allowBuilds на нього просто не діяли. Це дозволяло виконувати довільні скрипти на машині розробника. Тепер розбіжність імен викликає помилку ERR_PNPM_REGISTRY_NAME_MISMATCH і зупиняє встановлення. Додатково обидві гілки отримали ліміт на розмір розпакованого архіву за замовчуванням у 4 ГіБ (maxTarballUnpackedSize), що захищає від архівних бомб.

Компрометація проміжних центрів сертифікації eMudhra змусила оновити вбудовані сховища довіри в інструментах, які використовують власні сертифікати замість системних. 20 жовтня вийшли оновлення uv 0.13.4, Hex 2.5.4 та rustup 1.29.2. Утиліта uv вилучила корінь emSign ECC Root CA - G3, Hex припинив довіряти трьом сертифікатам emSign, а rustup оновив залежності для валідації HTTPS-з'єднань, усуваючи ризик підміни серверів. Користувачам, які запускають uv із прапорцем --system-certs або власними шляхами у змінних середовища, доведеться окремо перевірити відкликання скомпрометованих сертифікатів у системному сховищі.

Водночас 20 жовтня GitHub запустив публічне тестування пакета фаєрвола для клієнтів GitHub Enterprise Cloud. Сервіс діє як проксі до реєстру npm і дозволяє адміністраторам блокувати пакети за віком релізу, наявністю вразливостей або зміною підтвердженого походження ще до потрапляння в CI чи на робочі станції. Проте захист діє лише доти, доки весь трафік примусово спрямовано через проксі: будь-який прямий запит до реєстру залишається неконтрольованим.

Джерело: habr