GitHub met fin à l'exécution automatique des scripts d'installation pour npm

GITHUB RENFORCE LA SÉCURITÉ DE NPM EN MODIFIANT LES PARAMÈTRES PAR DÉFAUT
La plateforme de développement GitHub a annoncé qu'elle allait mettre fin à l'exécution automatique des scripts d'installation pour les packages npm, une fonctionnalité qui a été utilisée par des attaquants pour propager des attaques de chaîne d'approvisionnement. Cette modification, attendue pour juillet, va probablement bloquer l'un des vecteurs d'attaque les plus courants. Les développeurs se demandent pourquoi GitHub a mis autant de temps à apporter ce changement, alors que d'autres répositories ont agi plus tôt.

Contexte de la sécurité
L'exécution automatique des scripts d'installation a été une fonctionnalité utile pour les développeurs, mais elle a également été utilisée par des attaquants pour injecter du code malveillant dans les packages npm. Les attaquants ont pu utiliser cette fonctionnalité pour propager des attaques de chaîne d'approvisionnement, ce qui a pu avoir des conséquences graves pour les utilisateurs de ces packages.

Impact de la modification
La modification apportée par GitHub va rendre plus difficile l'exécution automatique des scripts d'installation, car les développeurs devront désormais explicitement autoriser l'exécution de ces scripts. Cela va probablement réduire le nombre d'attaques de chaîne d'approvisionnement, mais les experts estiment que les attaquants vont simplement trouver d'autres moyens pour propager leurs attaques. Les développeurs devront donc rester vigilants et continuer à mettre à jour leurs packages et leurs dépendances pour éviter les vulnérabilités de sécurité.

Perspectives
La modification apportée par GitHub est un pas dans la bonne direction pour renforcer la sécurité de la plateforme, mais elle ne résout pas tous les problèmes de sécurité liés aux packages npm. Les développeurs devront continuer à être prudents et à utiliser des outils de sécurité tels que npm et Snyk pour détecter les vulnérabilités de sécurité dans leurs packages et leurs dépendances. En fin de compte, la sécurité de la plateforme dépendra de la vigilance et de la coopération de tous les acteurs impliqués.

---

Source : GitHub finally pulls the plug on automatic install script execution for npm | InfoWorld​