GitHubは7月28日（現地時間）、サプライチェーンセキュリティ強化の一環として、npmレジストリに公開されるパッケージの自動マルウェアスキャンを導入した。
このスキャンは公開直後のパッケージに適用され、スキャン結果に応じて正常公開、手動審査保留、または公開ブロックとなることがある。通常、公開から利用可能になるまで約5分の遅延が発生するが、パッケージの内容や混雑状況により最大15分以上かかる場合もある。スキャン完了前はnpm dist-tagコマンドのみ利用でき、npm deprecateやnpm unpublishなどバージョン依存操作は制限される。
また、マルウェアと類似したセキュリティ機能を持つ「両義的パッケージ」については、package.jsonにcontentPolicyフィールドを追加して宣言し、DISCOSUREファイルで正当利用目的を明記する必要が生じた。これら両義的パッケージは、2要素認証を必須とする公開方法のみが許可される。加えて、両義的メタデータの宣言後は、以後のバージョンでcontentPolicyやDISCLOSUREファイルを削除できず、削除した場合は公開が拒否される。
同社は今後も検出精度やスキャン時間短縮の改善に取り組むとしている。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
