サプライチェーン攻撃の事例や各種ツールにおける対策について
#セキュリティ
#サプライチェーン攻撃
#書きかけ
ランタイム
Deno
パーミッションシステムや
deno.lock
などの仕組みを提供
npm
のライフサイクルスクリプト経由での攻撃への対策として
--allow-scripts
という仕組みがある
(おそらく
Deno v2.6
で)
deno audit
や
minimumDependencyAge
が追加
Bun
npm
のライフサイクルスクリプト経由での攻撃への対策として、
trustedDependencies
という仕組みがある
Bun v1.3
で
Security Scanner API
のサポート (
) や
minimumReleaseAge
オプションの追加などが実施
パッケージマネージャー
aqua
セキュリティのために
Cosign
や
SLSA
などの仕組みが活用されています
Homebrew
pnpm
Shai-Hulud
攻撃の発生などを受けて、
v10.16.0
で
minimumReleaseAge
オプションが追加]
ni.zsh
v1.8.0
で
Socket Firewall
のサポートが追加
Dependabot
cooldown
オプションが追加 (
)
事例
tj-actions/changed-files
サードパーティ製のカスタムアクションを使用する際は、
git tag
ではなくコミットハッシュによって参照するとよい (
pinact
などのツールを使用すると便利)
vscode
Codecov
Shai-Hulud
2025/09ごろに発生した
npm
レジストリへの大規模サプライチェーン攻撃