GitLab plant Dependency-Firewall gegen Supply Chain Angriffe

In einem Blog Post vom 26. März 2024 hat GitLab seine Pläne vorgestellt, ein neues Feature zur Verbesserung der Sicherheit in Software-Lieferketten einzuführen. Die für die zweite Jahreshälfte 2024 geplante “Dependency-Firewall” soll ein robustes Verteidigungssystem gegen Angriffe auf die Software-Supply-Chain, wie Typosquatting und Dependency-Confusion-Angriffe, darstellen.

Nach der Veröffentlichung des Maven-Dependency-Proxys in GitLab 16.8, der es Organisationen ermöglicht, Pakete von einem vorgelagerten Repository direkt in ein GitLab-Projekt zu proxien und zu cachen, wurde der Bedarf an verstärkten Sicherheitsmaßnahmen deutlich. Die Abhängigkeits-Firewall zielt darauf ab, diese Risiken zu adressieren, indem sie Warnungen ausgibt oder Downloads basierend auf den von der Organisation festgelegten Richtlinien blockiert. Sie fungiert als Wächter, der sicherstellt, dass jedes neue Paket vor der Zulassung in die Software-Lieferkette gegen die Richtlinie von GitLab geprüft wird. Die Firewall wird auch Funktionen zum Unter Quarantäne Stellen von Paketen zur Überprüfung, zum Verwalten dieser Pakete und zum Berichten über die Paketnutzung bieten.

Die erste Implementierung der Abhängigkeits-Firewall wird sich darauf konzentrieren, Warnungen für Pakete mit bekannten kritischen Schwachstellen auszugeben. Zukünftige Erweiterungen werden die Unterstützung für die Identifizierung von Schwachstellen mit geringerer Schwere, das Hinzufügen von Warnungen in der Paketregistrierungs-UI-Listenansicht und das Festlegen von Regeln zum Unter Quarantäne Stellen von Paketen umfassen.

Tags :

Related Posts

Kritische Sicherheitslücke in NFS von BSD-basierten Systemen

26.3.24: Eine neu entdeckte Schwachstelle in Network File System (NFS) Implementierungen, die in von BSD abgeleiteten Codebasen verwendet werden, wie sie in OpenBSD bis Version 7.4 und FreeBSD bis zur Version 14.0-RELEASE zum Einsatz kommen, setzt Systeme einem erheblichen Risiko aus. Die Schwachstelle CVE-2024-29937, ermöglicht diese Schwachstelle entfernten Angreifern das Ausführen von beliebigem Code auf betroffenen Systemen.

Read More

Kostenlose Android VPN-Apps missbrauchen Geräte für Proxy-Netzwerke

Das Satori Threat Intelligence-Team hat eine Gruppe von 28 VPN-Apps im Google Play Store identifiziert, die unbemerkt die Geräte der Benutzer in Proxy-Knoten verwandeln. Die Proxy-Netzwerke lassen sich dann nutzen, um ihre Aktivitäten zu verschleiern. Die betreffenden Apps nutzen alle PROXYLIB, eine Golang-Bibliothek, die für die Einbindung der Geräte in das Proxy-Netzwerk verantwortlich ist.

Read More

StrelaStealer Phishing Kampagne gegen High Tech Firmen in Deutschland

Ein Bericht von Palo Alto Unit42 vom 22.3.24 warnt derzeit von einer Phishing Kampagne, die es vor allem auf High Tech Firmen in der EU und dem deutssprachigen Raum abgesehen hat. Die Phishing Mails beinhalten ein .Zip File , dass den StrelaStealer deployed, der erstmals 2022 identifiziert wurde und dafür berüchtigt ist, dass es Anmeldeinformationen für E-Mail-Konten von prominenten E-Mail-Clients stehlen und an einen Command-and-Control (C2) Server zurücksenden kann. Die neueste Welle von StrelaStealer-Kampagnen hat über 100 Organisationen in Europa und den Vereinigten Staaten betroffen, was die anhaltende Bedrohung durch diese Malware zeigt.

Read More