GitHub、パッケージのコードを実行させずに認証情報を盗む攻撃を防ぐ「package firewall」を公開プレビュー

GitHub package firewall

パッケージのインストール時にコードを実行させることなくCI/CDホストや開発マシンから認証情報を窃取するマルウェア攻撃が増加している。GitHubはこの対策として、Actionsランナーやコーディングエージェントと上流のパッケージリポジトリの間に位置し、メタデータ要求とダウンロードの両方を検査するpackage firewallを発表した。クールダウン期間やGitHub Advisory Databaseの照合、attestation downgradesなどのポリシーを管理者が設定できる。GitHub Enterprise Cloud向けに無料の公開プレビューとして提供され、現時点ではnpmパッケージのみ対応している。