Dependabot, 새 릴리스 3일 후에만 버전 업데이트 PR 열도록 기본 쿨다운 도입
Dependabot version updates introduce default package cooldown
GitHub의 Dependabot이 버전 업데이트에 대해 기본 패키지 쿨다운을 도입했습니다. 이제 새 릴리스가 레지스트리에 등록된 후 최소 3일이 지나야 버전 업데이트 풀 리퀘스트가 열리며, 추가 설정이 필요 없습니다. 이는 공급망 공격의 진입점이 될 수 있는 손상된 릴리스를 병합하기 전에 커뮤니티의 신호를 받을 시간을 확보하기 위한 것입니다. 보안 업데이트는 즉시 열리며, `.github/dependabot.yml`의 `cooldown` 옵션으로 기간을 조정하거나 완전히 비활성화할 수 있습니다. 이 기본값은 github.com의 모든 지원 생태계에 적용되며, GitHub Enterprise Server 3.23부터 적용됩니다.
새 릴리스는 유지보수자와 커뮤니티가 발견하기 전에 손상되거나 깨진 버전이 의존성 업데이트에 도달할 수 있는 공급망 공격의 일반적인 진입점이며, 짧은 지연은 그 신호가 표면화될 시간을 주어 배포 직후 잘못된 릴리스를 병합할 가능성을 줄여줍니다.