GitLab plant Dependency-Firewall gegen Supply Chain Angriffe

In einem Blog Post vom 26. März 2024 hat GitLab seine Pläne vorgestellt, ein neues Feature zur Verbesserung der Sicherheit in Software-Lieferketten einzuführen. Die für die zweite Jahreshälfte 2024 geplante “Dependency-Firewall” soll ein robustes Verteidigungssystem gegen Angriffe auf die Software-Supply-Chain, wie Typosquatting und Dependency-Confusion-Angriffe, darstellen.

Nach der Veröffentlichung des Maven-Dependency-Proxys in GitLab 16.8, der es Organisationen ermöglicht, Pakete von einem vorgelagerten Repository direkt in ein GitLab-Projekt zu proxien und zu cachen, wurde der Bedarf an verstärkten Sicherheitsmaßnahmen deutlich. Die Abhängigkeits-Firewall zielt darauf ab, diese Risiken zu adressieren, indem sie Warnungen ausgibt oder Downloads basierend auf den von der Organisation festgelegten Richtlinien blockiert. Sie fungiert als Wächter, der sicherstellt, dass jedes neue Paket vor der Zulassung in die Software-Lieferkette gegen die Richtlinie von GitLab geprüft wird. Die Firewall wird auch Funktionen zum Unter Quarantäne Stellen von Paketen zur Überprüfung, zum Verwalten dieser Pakete und zum Berichten über die Paketnutzung bieten.

Die erste Implementierung der Abhängigkeits-Firewall wird sich darauf konzentrieren, Warnungen für Pakete mit bekannten kritischen Schwachstellen auszugeben. Zukünftige Erweiterungen werden die Unterstützung für die Identifizierung von Schwachstellen mit geringerer Schwere, das Hinzufügen von Warnungen in der Paketregistrierungs-UI-Listenansicht und das Festlegen von Regeln zum Unter Quarantäne Stellen von Paketen umfassen.

Tags :

Related Posts

Sicherheitslücke in Adobe ColdFusion ermöglicht das Lesen von Dateisystemen

Eine kritische Sicherheitslücke in Adobe ColdFusion wurde am 12.3.24 bekannt und ermöglicht es Angreifern auf das Dateisystem des Servers zuzugreifen. Die Lücke CVE-2024-20767, die in den ColdFusion-Versionen 2023 und 2021 bis zu den jeweiligen aktuellen Updates besteht, wurde detailliert im Sicherheitsbulletin APSB24-14 von Adobe beschrieben.

Read More

ZenHammer: Rowhammer-Angriffe nun auch auf AMD Zen CPU

Eine kürzlich durchgeführte Studie der ETH Zürich hat gezeigt, dass AMD Zen 2- und Zen 3-Systeme anfällig für Rowhammer-Angriffe sind, trotz der implementierten TRR-Mitigationsmaßnahmen. Diese Erkenntnis stellt fest, dass AMD-Systeme genauso anfällig für Rowhammer-Angriffe sind wie Intel-Systeme, was angesichts des heutigen Marktanteils von AMD von etwa 36% bei x86-Desktop-CPUs die Angriffsfläche erheblich vergrößert. Bisher war nur bekannt, dass Rowhammer Angriffe auf Intel und ARM CPUs möglich waren.

Read More

StrelaStealer Phishing Kampagne gegen High Tech Firmen in Deutschland

Ein Bericht von Palo Alto Unit42 vom 22.3.24 warnt derzeit von einer Phishing Kampagne, die es vor allem auf High Tech Firmen in der EU und dem deutssprachigen Raum abgesehen hat. Die Phishing Mails beinhalten ein .Zip File , dass den StrelaStealer deployed, der erstmals 2022 identifiziert wurde und dafür berüchtigt ist, dass es Anmeldeinformationen für E-Mail-Konten von prominenten E-Mail-Clients stehlen und an einen Command-and-Control (C2) Server zurücksenden kann. Die neueste Welle von StrelaStealer-Kampagnen hat über 100 Organisationen in Europa und den Vereinigten Staaten betroffen, was die anhaltende Bedrohung durch diese Malware zeigt.

Read More