Thema: npm
-
Veröffentlichungsidentitäten bei npm und PyPI an freigegebene Release-Artefakte binden
Trusted Publishing mit OIDC beseitigt gespeicherte Veröffentlichungs-Tokens, seine Sicherheit hängt aber weiterhin vom autorisierten Workflow ab. Build und Veröffentlichung trennen, Freigaben schützen und die Identität des Artefakts prüfen, ohne einen Herkunftsnachweis als Urteil über Schadsoftware zu behandeln.
-
npm: „ERESOLVE unable to resolve dependency tree“ und Konflikte bei Peer Dependencies
Seit npm 7 werden peerDependencies automatisch installiert. Lassen sich nicht alle Peer-Bereiche gleichzeitig erfüllen, bricht die Installation mit „npm error code ERESOLVE“ ab (vor npm 10.6: „npm ERR! code ERESOLVE“). Der Artikel zeigt, wie sich anhand der Found-/Could-not-resolve-Zeilen von npm die konfliktverursachenden Pakete genau bestimmen lassen und warum --legacy-peer-deps oder --force nicht zur Standardreaktion werden sollten.
-
Ausbreitung von npm-Würmern über Entwicklungsrechner und Veröffentlichungskonten eindämmen
ChainDrop und die Kompromittierung von Tensorlake zeigen, wie der Diebstahl von Zugangsdaten während der Installation zu unbefugten Paketveröffentlichungen führen kann. Die Eindämmung muss die Ausführung von Abhängigkeiten, Veröffentlichungsrechte, dauerhafte Verankerungen in Repositories und kontaminierte Build-Ergebnisse erfassen.
-
Wartefristen für Paket-Releases: genaue Einstellungen, Einheiten und Grenzen der Durchsetzung
Kontrollen des Release-Alters unterscheiden sich zwischen npm, pnpm, uv, Renovate und Dependabot. Die richtigen Einheiten konfigurieren, den Umgang mit Zeitstempeln und die Auflösung transitiver Abhängigkeiten prüfen sowie einen ausdrücklichen Weg für dringende Sicherheitsupdates vorsehen.
-
Schädliches Paket installiert: Ausführung eindämmen, bevor Zugangsdaten ersetzt werden
Vorgeschlagene Reihenfolge für die Reaktion auf schädliche npm- oder Python-Pakete: Ausführung und Veröffentlichung stoppen, Beweise sichern, gefährdete Zugangsdaten von einem sauberen System aus widerrufen, Repositories auf dauerhafte Verankerungen prüfen, neu aufbauen und die Wiederherstellung überprüfen.
Maschinenlesbar: JSON