La plataforma de hospedaje de código basada en la nube GitHub ha anunciado que ahora comenzará a enviar alertas de Dependabot para acciones vulnerables de GitHub para ayudar a los desarrolladores a solucionar problemas de seguridad en los flujos de trabajo de CI/CD.
«Cuando se informa una vulnerabilidad de seguridad en una acción, nuestro equipo de investigadores de seguridad creará un aviso para documentar la vulnerabilidad, lo que activará una alerta para los repositorios afectados», Brittany O’Shea y Kate Catlin de GitHub. dijo.
Acciones de GitHub es una solución de integración continua y entrega continua (CI/CD) que permite a los usuarios automatizar la canalización de desarrollo, prueba e implementación de software.
dependientebot es parte de los continuos esfuerzos de la subsidiaria propiedad de Microsoft para asegurar la cadena de suministro de software por notificando usuarios que su código fuente depende de un paquete con una vulnerabilidad de seguridad y ayudar a mantener todas las dependencias actualizadas.
El último movimiento implica recibir alertas sobre las acciones de GitHub y las vulnerabilidades que afectan el código del desarrollador, y los usuarios también tienen la opción de enviar un aviso para una acción de GitHub específica al adherirse a un proceso de divulgación constante.
«Mejoras como estas fortalecen GitHub y la postura de seguridad de nuestros usuarios, razón por la cual continuamos invirtiendo en reforzar los puntos de conexión entre las soluciones de seguridad de la cadena de suministro de GitHub y GitHub Actions para mejorar la seguridad de nuestras compilaciones», señaló la compañía.
El desarrollo llega cuando GitHub, a principios de esta semana, abrió una nueva solicitud de comentarios (RFC) para un sistema de suscripción que permite a los mantenedores de paquetes firmar y verificar paquetes publicados en NPM en colaboración con Sigstore.