Ricerca · 6 ore fa
Trail of Bits ha auditato 25 package manager e ha trovato un buco nel modello di fiducia che molti team danno per scontato: meno della metà usa lockfile che controllano la manomissione per default, e solo due verificano l'integrità di ogni package scaricato. Se l'attacco si sposta dal maintainer al repository, il controllo a valle smette di essere una rete di sicurezza affidabile.
Il problema è semplice: alcuni strumenti salvano in lockfile hash o firme attesi, ma non li confrontano automaticamente con ciò che scaricano, se non dopo altra configurazione. Quando quel controllo salta, un package alterato nel repository può arrivare nella build come se fosse legittimo, e il codice modificato entra nella base di codice senza che l'installer lo fermi.
Per chi distribuisce software tramite package manager, il punto è il confine di fiducia. La hygiene classica sulle dipendenze non basta se il repository stesso è compromesso: la protezione reale diventa l'integrità verificata a ogni download, non il solo lockfile pulito.
1 fonte che coprono questa storia
Package managers have an integrity problem
Only two verified the integrity of every package they downloaded.
Part of the PlainSec briefing for 2026-10-14