Dependabot 악성 패키지 경보 범위 확대
OpenSSF malicious-packages 데이터를 GitHub Advisory Database에 반영해 여러 생태계의 악성 패키지를 Dependabot alerts로 탐지합니다.
교안에 영향
Malware alerts 관련 안내에서 npm만 대상이라는 설명은 더 이상 맞지 않습니다.
요약
- OpenSSF malicious-packages 저장소의 악성 패키지 경보를 GitHub Advisory Database에 자동 수집합니다. - npm, PyPI 등 더 많은 생태계의 malware advisories를 type:malware 필터로 볼 수 있습니다. - Malware alerts를 켠 경우 Dependabot가 확장된 악성 패키지 경보와 의존성을 대조해 알립니다. - 추가 설정 없이 기존 Malware alerts 사용자는 자동으로 확대된 범위를 받습니다.
바뀐 것
개선
- OpenSSF malicious-packages 프로젝트의 advisory를 GitHub Advisory Database에 자동으로 수집합니다.
- npm, PyPI 등 더 많은 생태계의 malware advisories를 type:malware 필터로 조회할 수 있습니다.
- Malware alerts가 켜진 저장소와 조직에서 Dependabot alerts가 확장된 악성 패키지 경보를 검사합니다.
기타
- Malware alerts를 이미 사용 중이라면 별도 설정 없이 확대된 범위를 자동으로 적용받습니다.