GitHub agrega un tiempo de reutilización de Dependabot de 3 días para limitar la adopción de paquetes envenenados – CYBERDEFENSA.MX

GitHub ha anunciado un nuevo mecanismo de enfriamiento en Dependabot, que permite que la herramienta espere al menos tres días después de la publicación de un lanzamiento antes de abrir una solicitud de extracción.

«Sin embargo, la opción de configuración de enfriamiento en dependabot.yml todavía controla el comportamiento, por lo que puedes elegir un parámetro de enfriamiento diferente que se ajuste a tu proyecto», la subsidiaria propiedad de Microsoft. dicho.

Según GitHub, el tiempo de reutilización predeterminado de tres días solo se aplica a las actualizaciones de versión, que están diseñadas para mantener actualizadas las dependencias del software. Las actualizaciones de seguridad seguirán publicándose de inmediato, lo que permitirá al Dependabot emitir una alerta y abrir una solicitud de extracción para mover el proyecto a la versión parcheada.

Con esta actualización, la idea es manejar escenarios en los que un actor de amenazas logra enviar una versión envenenada de un paquete popular, que luego es rápidamente retirado por proyectos posteriores antes de que esa versión sea eliminada del registro. Aunque estos paquetes troyanizados son de corta duración, el período de tiempo durante el cual permanecen accesibles es suficiente para ampliar el radio de explosión de un ataque a la cadena de suministro.

GitHub dijo que llegó a tres días como valor predeterminado, ya que considera que la duración está en la zona de Ricitos de Oro. «Tres días como valor predeterminado equilibran dos objetivos: te empujan más allá de la ventana donde viven la mayoría de estos ataques y no retienen tus dependencias más de lo necesario», agregó.

Ciberseguridad

Al mismo tiempo, la plataforma de desarrollo de software enfatizó que el control debería ser solo una capa de defensa entre varias otras, incluida la fijación de dependencias con archivos de bloqueo, la desactivación de scripts de instalación en CI, el alcance de los tokens en los canales de compilación y la revisión de las actualizaciones antes de que se fusionen.

«Un tiempo de reutilización se crea para un patrón específico: una versión maliciosa que se envía, se propaga y se detecta rápidamente», dijo GitHub. «Hace poco contra los ataques que duran más tiempo, incluidas las puertas traseras colocadas en las versiones y que se dejan inactivas, el sabotaje del mantenedor o un sistema de compilación comprometido».

Vale la pena señalar que se anunciaron controles de enfriamiento similares en varios ecosistemas de paquetes durante el año pasado, incluidos Microsoft Visual Studio Code (VS Code), Ruby, Bun, npm, pnpm y Yarn.

La defensa basada en el tiempo de GitHub se produce cuando los mantenedores del Python Package Index (PyPI) anunciaron planes para impedir que los mantenedores agreguen nuevos archivos a la versión de un paquete después de que hayan pasado 14 días desde su publicación.

«La medida tiene como objetivo evitar que los atacantes que comprometen los tokens de publicación o los flujos de trabajo envenenen versiones antiguas y confiables», señaló PyPI.

VS Code agrega un retraso de actualización automática de extensión de 2 horas para limitar los ataques a la cadena de suministro

Microsoft ha anunciado que Visual Studio Code (VS Code) aplicará un retraso de dos horas antes de que las extensiones para el entorno de desarrollo integrado (IDE) se actualicen automáticamente a una versión más nueva en un intento de abordar las amenazas a la cadena de suministro de software.

«Cuando las actualizaciones automáticas están habilitadas, las nuevas versiones se actualizan automáticamente dos horas después de su publicación, agregando una capa adicional de protección contra versiones problemáticas o potencialmente comprometidas», Microsoft dicho.

La nueva función está disponible a partir de VS Code 1.123.

El gigante tecnológico señaló que los usuarios aún tienen la opción de actualizar cualquier extensión inmediatamente en cualquier momento usando el botón «Actualizar». Cuando las extensiones tienen actualizaciones pendientes, un motivo por el cual aún no se han actualizado estará disponible en la vista de detalles, junto con cuándo se realizará la actualización automática.

Dicho esto, este retraso de dos horas no se aplica a extensiones de editores confiables como Microsoft, GitHub y OpenAI, agregó. Las extensiones de dichos editores seguirán actualizándose inmediatamente.

Ciberseguridad

El desarrollo se produce días después de que RubyGems agregara una función de enfriamiento opcional a Bundler 4.0.13 que retrasa la instalación de versiones de gemas recién publicadas durante un período predefinido.

Específicamente, la función permite a los desarrolladores configurar Bundler para introducir un retraso de instalación basado en el tiempo con el objetivo de reducir la exposición potencial que surge de las versiones maliciosas recientemente publicadas.

Durante el año pasado, también se agregaron controles de instalación similares a Bun, pnpm, npm y Yarn.

  • Bollo – edad mínima de liberación (Bun 1.3+)
  • mpn – edad mínima de lanzamiento (npm v11.10.0+)
  • pnpm – edad mínima de liberación (pnpm 10.16+)
  • Hilo – npmMinimalAgeGate (Yarn Berry 4.10.0+)

Estos cambios llegan en el contexto de un aumento en los incidentes en la cadena de suministro de software que tienen como objetivo varios ecosistemas para violar los sistemas de los desarrolladores y propagar malware a los usuarios intermedios.

Antes de imponer un umbral de edad mínima antes de que se pueda instalar una versión de paquete en particular, el control defensivo minimiza la ventana durante la cual se propaga antes de que los mantenedores del registro lo marquen como malicioso y lo eliminen.

Orden ejecutiva de la Casa Blanca pretende limitar la votación por correo y exigir listas de votantes federales

El presidente Donald Trump firmó un orden ejecutiva El martes eso pretende limitar la votación por correo, aunque los críticos dicen que es casi seguro que la medida será impugnada en los tribunales por motivos constitucionales.

La orden ordena al secretario de Seguridad Nacional, al director de los Servicios de Inmigración y Ciudadanía de Estados Unidos y al comisionado de la Administración de la Seguridad Social compilar listas de votantes estadounidenses para cada estado, incluido su supuesto estatus de ciudadanía.

Para construir las listas, las agencias se basarían en la controvertida base de datos de Verificación Sistémica de Derechos de Extranjeros que el DHS ha estado construyendo bajo la administración Trump, así como en los registros federales de ciudadanía y naturalización del Seguro Social y.

Esas listas luego se transmitirían a los estados, la mayoría de los cuales ya han rechazado esfuerzos anteriores de la administración Trump para recopilar datos de votantes o dictar listas de registro de votantes. La orden de la Casa Blanca instruye al Departamento de Justicia a priorizar la investigación y el enjuiciamiento de funcionarios estatales y locales o cualquier otra persona involucrada en la administración de elecciones federales que emitan boletas federales a personas que no son elegibles para votar en una elección federal.

La orden también ordena al director general de correos que emita nuevas regulaciones propuestas que requieran que las boletas por correo se envíen en sobres especiales que incluyan códigos de barras para su seguimiento. Fundamentalmente, pregunta a los estados con anticipación si tienen la intención de presentar una lista de votantes elegibles para votar por correo e intenta hacer valer la autoridad para negar el envío de boletas a los estados que no participan. También afirma que el fiscal general tiene derecho a retener fondos federales de los estados que no cumplan.

Los esfuerzos anteriores de la administración Trump para hacer valer agresivamente la autoridad del poder ejecutivo sobre las elecciones han sido rechazados por los tribunales, y los jueces señalaron que la Constitución de los Estados Unidos faculta explícitamente a los estados y al Congreso para fijar el momento, la forma y el lugar de las elecciones.

La orden justifica la participación de la Casa Blanca al afirmar que tiene “un deber inevitable” según el Artículo II de la Constitución de mantener la confianza en los resultados electorales evitando violaciones del derecho penal. Pero numerosas auditorías, investigaciones y recuentos postelectorales han confirmado consistentemente durante décadas que el voto criminal de no ciudadanos es infinitamente raro en las elecciones estadounidenses, y para el pequeño número que lo hizo, la mayoría resultan ser accidentes o errores administrativos de décadas de antigüedad.

Las críticas de funcionarios electorales, expertos y demócratas en el Congreso no se hicieron esperar.

El secretario de Estado de Minnesota, Steve Simon, que se ha resistido a las demandas del Departamento de Justicia de entregar datos de los votantes estatales, predijo que la orden “correrá la misma suerte” que órdenes ejecutivas anteriores al ser revocada por los tribunales. Otros secretarios de Estado han emitido declaraciones similares rechazando la constitucionalidad de la orden.

«Nuestra oficina ha ayudado a detener sus acciones antes y ahora estamos explorando nuestras opciones legales para evitar que esta nueva orden entre en vigor», dijo Simon en un comunicado a CyberScoop.

También se mostró desconcertado por el voto por correo, calificándolo de una forma segura, confiable y conveniente para que los ciudadanos ejerzan su derecho al voto. Los funcionarios electorales locales “siguen cada boleta” enviada por correo y cuentan con una variedad de controles y salvaguardas para garantizar que se envíen únicamente a los votantes elegibles y que los votantes solo puedan emitir un voto.

“Los votantes ausentes que opten por votar por correo deben proporcionar un número de identificación coincidente, firmar el sobre con su firma y hacer que un testigo firme el sobre de su boleta antes de devolverla”, dijo Simon. «Toda esa información es rastreada digitalmente por los administradores electorales. Los votantes pueden rastrear el estado de su boleta utilizando nuestra herramienta de seguimiento de boletas en línea. Cualquier intento de registrarse o emitir un voto mientras no son elegibles se remite para investigación y posible procesamiento».

El senador Alex Padilla, demócrata por California, calificó la orden como un “abuso de poder flagrante e inconstitucional” y dijo que esperaba demandas “inmediatas” que cuestionaran su legalidad.

“El Presidente y el Departamento de Seguridad Nacional no tienen autoridad para controlar las elecciones federales ni ordenar al Servicio Postal independiente que socave el voto por correo y en ausencia del que dependieron casi 50 millones de estadounidenses en 2024”, dijo Padilla en un comunicado. «Una década de mentiras sobre el fraude electoral no cambia la Constitución».

David Becker, director ejecutivo del Centro para la Innovación e Investigación Electoral, dijo que los últimos mandatos de la administración están tan lejos de los límites constitucionales del poder ejecutivo que casi con seguridad serán detenidos mediante demandas.

«Algunos pueden asustarse por esto, pero, sinceramente, es muy gracioso», escribió Becker en Bluesky. «Es claramente inconstitucional, será bloqueado de inmediato y lo único que logrará es enriquecer a los abogados liberales. También podría firmar una orden ejecutiva que prohíba la gravedad».

Sin embargo, si bien los tribunales inferiores han anulado sistemáticamente órdenes y demandas anteriores de la Casa Blanca, los expertos electorales han expresado su preocupación de que la mayoría conservadora de la Corte Suprema, que ha chocado con los tribunales inferiores por la autoridad constitucional de la administración Trump, pareciera receptiva a la posición de la administración en un argumento oral reciente.

Alexandra Chandler, directora del programa Elecciones Libres y Justas de la organización sin fines de lucro Protect Democracy, dijo en un comunicado que la orden de la Casa Blanca “se parece más a un intento de anulación ejecutiva” de la autoridad estatal sobre las elecciones.

“Con la intención de resolver un problema que existe sólo en la falsa retórica de la administración Trump y su suerte política, el [order] «Es un ejemplo clásico de su manual para engañar al pueblo estadounidense e interrumpir el proceso electoral para negar cualquier resultado futuro que no les convenga», dijo Chandler.

Derek B. Johnson

Escrito por Derek B. Johnson

Derek B. Johnson es reportero de CyberScoop, donde su área incluye la ciberseguridad, las elecciones y el gobierno federal. Antes de eso, ha brindado una cobertura galardonada de noticias sobre ciberseguridad en los sectores público y privado para varias publicaciones desde 2017. Derek tiene una licenciatura en periodismo impreso de la Universidad de Hofstra en Nueva York y una maestría en políticas públicas de la Universidad George Mason en Virginia.