software · 9 menciones
Un análisis técnico de 25 gestores de paquetes más populares revela que menos de la mitad de ellos verifican por defecto la integridad de los paquetes descargados mediante archivos de bloqueo (lockfiles) o firmas criptográficas. La investigación, realizada mediante un entorno de pruebas basado en Do
A lo largo de dieciséis semanas de seguimiento de lanzamientos en el ecosistema de gestores de paquetes, tres ejes marcan la evolución del sector: el endurecimiento defensivo por defecto, la incorporación de controles en los registros y la persistencia de tres familias de vulnerabilidades recurrente
El desarrollador André Arko, antiguo mantenedor de Bundler y RubyGems, describe la crisis abierta entre la comunidad de Ruby y la fundación Ruby Central. Según su relato, hace unos 18 meses Ruby Central gestionaba dos conferencias anuales, financiaba a diez colaboradores de código abierto y coordina
Git incorporó en su versión 2.24.0 (noviembre de 2019) el indicador --end-of-options como marcador para señalar el fin de las opciones en la posición reservada a las revisiones, ya que el tradicional -- quedó ocupado desde hace tiempo para separar revisiones de rutas (paths). Esa doble función de --
La gestión de dependencias en software es un aspecto crítico para la seguridad y mantenibilidad. En este artículo, un desarrollador con experiencia en Go y Ruby argumenta que el modelo de "publicar un paquete" es inherentemente inseguro y propone que las dependencias se obtengan directamente desde e
Una nueva clase de ataques a la cadena de suministro de software explota una superficie que casi nadie revisa: los archivos de configuración que editores, agentes de IA y gestores de dependencias interpretan y ejecutan de forma automática. El análisis, publicado por SafeDep, emplea como caso de estu
Bundler 4.0.13 incorpora una nueva función de seguridad opcional llamada cooldown: un filtro temporal que rechaza cualquier versión de un gem publicada en los últimos N días. El mecanismo ataca una debilidad conocida de la cadena de suministro de RubyGems: la mayoría de exploits aprovechan la ventan
Un artículo de nesbitt.io destaca una creciente preocupación por la seguridad en la gestión de dependencias dentro de plataformas como GitHub Actions, Ansible Galaxy y Terraform, comparándolas con sistemas de gestión de paquetes tradicionales pero sin sus salvaguardas. GitHub Actions, por ejemplo, c
Para combatir los ataques a la cadena de suministro de software, gestores de paquetes como npm, Yarn, Bun, pnpm, uv y otros están adoptando 'cooldowns' o periodos de espera para la instalación de nuevas versiones de paquetes. Esta medida, que implica retrasar la instalación de un paquete recién publ
