pnpm закрыл обход правил запуска сборочных скриптов, uv, Hex и rustup обновили доверенные сертификаты после инцидента eMudhra, а GitHub представил прокси для проверки npm-пакетов до загрузки. pnpm...

pnpm закрыл обход правил запуска сборочных скриптов, uv, Hex и rustup обновили доверенные сертификаты после инцидента eMudhra, а GitHub представил прокси для проверки npm-пакетов до загрузки.

Вышедший 21 октября pnpm 12.15 отклоняет метаданные, если имя пакета в ответе реестра отличается от запрошенного. Установка завершается ошибкой ERR_PNPM_REGISTRY_NAME_MISMATCH. То же исправление получила ветка 11 в версии 11.28.7.

Раньше pnpm устанавливал пакет под именем из ответа реестра, и правила allowBuilds для запрошенного пакета к нему не применялись. Получалось, что ответ реестра мог нарушить применение локальных ограничений на запуск скриптов. Теперь при несовпадении имён pnpm останавливает установку.

Также в обеих ветках появилась и защита от чрезмерно больших архивов. Настройка maxTarballUnpackedSize ограничивает суммарный размер файлов одного пакета после распаковки. По умолчанию предел составляет 4 ГиБ.

После компрометации промежуточных удостоверяющих центров eMudhra 20 октября вышли версии uv 0.13.4, Hex 2.5.4 и rustup 1.29.2. Для HTTPS-соединений эти программы используют собственные наборы доверенных сертификатов, поэтому обновить их нужно отдельно от браузера.

В uv корневой сертификат emSign ECC Root CA - G3 удалён из встроенного набора доверенных сертификатов. Он служил основанием доверия к сертификатам серверов из цепочки eMudhra. После компрометации ключей промежуточных центров злоумышленник мог использовать эту цепочку для подмены HTTPS-сервера.

Чтобы uv проверял сертификаты по хранилищу операционной системы, необходимо активировать флаг --system-certs. Переменные окружения SSL_CERT_FILE и SSL_CERT_DIR задают путь к собственному файлу или каталогу с сертификатами. Если вы выбрали один из этих вариантов, то проверьте, что выбранное хранилище тоже перестало доверять скомпрометированной цепочке.

Hex 2.5.4 прекратил доверять трём корневым сертификатам emSign, а в rustup 1.29.2 обновлены зависимости, отвечающие за проверку сертификатов. Исправления закрывают возможность подмены HTTPS-серверов через скомпрометированную цепочку доверия.

20 октября GitHub открыл публичный предпросмотр package firewall для GitHub Enterprise Cloud. Сервис работает как прокси между рабочей станцией или CI и реестром npm – через него проходят запросы метаданных и загрузки пакетов.

В политике администратор может задать минимальный возраст версии, проверки по GitHub Advisory Database на вредоносность и уязвимости, а также проверки изменений в подтверждениях происхождения пакета. Клиенты должны обращаться к реестру через firewall. Если CI или рабочая станция продолжает скачивать пакеты напрямую, то заданная политика к этим запросам не применяется.