GitHubがnpm v12でスクリプトの自動インストールを無効化、攻撃対策を強化
GitHubは、npm v12のリリースに向けてセキュリティを重視したnpmの刷新を発表しました。ソフトウェアサプライチェーン攻撃の緩和と、パッケージインストール時の不正なコード実行を防止するため、より厳格なデフォルト制御が導入されます。 これらの変更は現在、npmバージョン11.16.0以降でオプトイン形式の警告と
タグ: npm v12
GitHubがnpmの自動インストールスクリプト実行をついに廃止へ
7月に予定されるこの変更は、よく使われる攻撃ベクターの一つを封じると見られています。開発者たちは、なぜGitHubがここまで時間をかけたのか、また他のリポジトリがなぜもっと早く行動したのかを疑問視しています。 npmにおける自動インストールスクリプト
GitHubがサプライチェーン攻撃対策としてnpmのセキュリティ仕様変更を発表
GitHubは、来月リリース予定のnpm v12において、「npm install」コマンド実行時の動作を悪用したサプライチェーン攻撃をブロックすることを目的とした、セキュリティ重視の複数の変更を導入すると発表しました。 「npm install」は、プロジェクトの依存関係をダウンロード・インストールし、各パッケージ