GitHub’s npm package firewall can block brand-new versions before they install

GitHub ha dado a co­no­cer una he­rra­mien­ta de fi­re­wall para pa­que­tes des­ti­na­da a ve­ri­fi­car los ele­men­tos de npm con­for­me a las nor­mas de las em­pre­sas antes de que se lleve a cabo su ins­ta­la­ción. Esta fun­ción tiene la ca­pa­ci­dad de im­pe­dir la en­tra­da de ver­sio­nes to­tal­men­te nue­vas, así como de vul­ne­ra­bi­li­da­des gra­ves y soft­wa­re ma­li­cio­so ya iden­ti­fi­ca­do, ope­ran­do de ma­ne­ra pre­via a que el pa­que­te lle­gue a una compu­tado­ra, un pro­ce­so de com­pi­la­ción o un agen­te de pro­gra­ma­ción.

Para de­ter­mi­nar si una ver­sión se con­si­de­ra nueva, el sis­te­ma se basa en la fecha de lan­za­mien­to pro­por­cio­na­da en los me­ta­da­tos del pa­que­te. Asi­mis­mo, los usua­rios tie­nen la po­si­bi­li­dad de al­te­rar estos pa­rá­me­tros y es­ta­ble­cer po­lí­ti­cas per­so­na­li­za­das que in­clu­yan pe­rio­dos de es­pe­ra o en­fria­mien­to, según la in­for­ma­ción pro­por­cio­na­da por un re­pre­sen­tan­te de la com­pa­ñía.

Adi­cio­nal­men­te, se han in­cor­po­ra­do otras tres fun­cio­nes en­fo­ca­das en el aná­li­sis y la co­rrec­ción de có­di­go. Una de ellas es AI Scan, di­se­ña­da para exa­mi­nar cada so­li­ci­tud de ex­trac­ción en busca de fa­llos en len­gua­jes que los mé­to­dos tra­di­cio­na­les no abar­can, con ca­pa­ci­dad de eva­luar re­po­si­to­rios bajo de­man­da. Tam­bién se in­te­gró una ex­ten­sión de se­gu­ri­dad para una apli­ca­ción es­pe­cí­fi­ca que re­vi­sa los cam­bios antes de crear una so­li­ci­tud de ex­trac­ción, com­bi­nán­do­se con las aler­tas de se­gu­ri­dad para fa­ci­li­tar la co­rrec­ción de pro­ble­mas me­dian­te su­ge­ren­cias au­to­má­ti­cas o co­rrec­cio­nes por lotes.

Fi­nal­men­te, se aña­dió un aná­li­sis de al­can­za­bi­li­dad con el fin de de­ter­mi­nar si el có­di­go de un equi­po real­men­te in­vo­ca la fun­ción vul­ne­ra­ble den­tro de los ár­bo­les de de­pen­den­cias. Esto per­mi­te a los gru­pos de tra­ba­jo re­vi­sar las rutas de lla­ma­da co­rres­pon­dien­tes y prio­ri­zar las aler­tas de De­pen­da­bot de una ma­ne­ra más or­ga­ni­za­da.