Mobile-Menu

Abgleich von Code-Repositories und CVEs GitHub warnt bei Schwachstellen in Ruby und JavaScript

Autor Stephan Augsten

Greift man bei der Programmierung auf bestehende Code-Bibliotheken zurück, kann man sich leicht Sicherheitslücken an Bord holen. GitHub geht im Falle von RubyGems für Ruby und npm für Javascript aktiv mit Security Alerts dagegen vor und hat jüngst ein paar Zahlen hierzu veröffentlicht.

Findet GitHub in Code-Repositories anfällige Ruby- und JavaScript-Bibliotheken, dann werden die Projektbetreuer zeitnah gewarnt.
Findet GitHub in Code-Repositories anfällige Ruby- und JavaScript-Bibliotheken, dann werden die Projektbetreuer zeitnah gewarnt.
(Bild: GitHub)

Erst im vergangenen Jahr hat GitHub eine aktive Rolle bei der Alarmierung von Projektbetreuern bekannter Bibliotheken in RubyGems für Ruby und npm für Javascript übernommen. Findet der Code-Hoster in der Liste der Common Vulnerabilities and Exposures (CVEs) Ruby- und JavaScript-Schwachstellen, die in verbreiteten Repositories, schickt er eine Sicherheitswarnung an den Projektbetreuer.

Zunächst wurde die Liste der gefährdeten Bibliotheken mit den Abhängigkeitsgraphen aller öffentlichen Repositories abgeglichen, schreibt die GitHub-Mitarbeiterin „msantosm“: "Wir haben über vier Millionen Schwachstellen in über 500.000 Repositories gefunden und eine Warnung an Repository-Administratoren in ihren Abhängigkeitsgraphen und Repository-Homepages (für Ruby und Javascript) angezeigt."

Schon kurz nach dem Start seien über 450.000 identifizierte Schwachstellen von Repository-Besitzern behoben worden. Entweder wurde dabei die Abhängigkeit beseitigt oder auf eine sichere Code-Basis umgestellt. Denn in fast allen Fällen existiert bereits eine gepatchte Version der betroffenen Ruby- oder JavaScript-Bibliothek, die GitHub im Alert empfiehlt.

„Seitdem liegt unsere Rate der in den ersten sieben Tagen der Erkennung behobenen Schwachstellen bei etwa 30 Prozent“, heißt es im Blog. „Zusätzlich werden 15 Prozent der Alarme innerhalb von sieben Tagen abgewiesen, was bedeutet, dass fast die Hälfte aller Alarme innerhalb einer Woche beantwortet wird.“ Von den verbleibenden Alerts gehörten die meisten zu Repositories, die in den letzten 90 Tagen keinen Beitrag geleistet hätten.

Seit Neuestem informiert GitHub sowohl Betreuer als auch Sicherheitsteams zusätzlich direkt über Schwachstellen-Digest-E-Mails. Weitere Sicherheitsverbesserungen sollen folgen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Softwareentwicklung und DevOps

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

(ID:45209253)

Weiterführende Inhalte