Ondsindede pakker

fremforge tjekker de pakker, du faktisk leverer, mod OSV’s MAL-*-advisories: pakker, som et registry eller en forsker har bekræftet som bevidst ondsindede, for eksempel en typosquat eller en kapret release, der stjæler legitimationsoplysninger ved installation. To ting tjekkes:

• Repositorier. Den seneste SBOM for hvert repositorys standard-branch.
• Container-images. Sprogpakkerne i hvert image, der er publiceret til din organisations pakke-registry.

En ondsindet pakke er altid kritisk. Det er ikke en sårbarhed med en rettet version: fjern den, og betragt enhver maskine, der har installeret eller kørt den, som kompromitteret.

Det er adskilt fra Malware-scanning, som kører ClamAV-signaturer over uploadede filer.

Hvornår tjekket kører

Den daglige kørsel er vigtig, fordi en pakke ofte først angives som ondsindet uger efter, at den blev publiceret. Kode og images, der ikke har ændret sig, matches igen mod de nyeste advisories.

Matchningen kører på fremforges egne scannere mod en offline-kopi af OSV-databasen. Intet om din kode eller dine images sendes til osv.dev.

Hvad der matches i et image

Imaget scannes med Trivy, med det samme pull, som scanning af container-images bruger. Dets sprogpakker matches: npm, PyPI, Maven, Go, crates.io, RubyGems, NuGet, Packagist, Pub og Hex. Styresystempakker (apk, deb, rpm) matches ikke, fordi MAL-*-advisories handler om sprog-registries.

For et image med flere arkitekturer er det varianten linux/amd64, der scannes.

Fund

Fundene står under Sikkerhed › Fund › Afhængigheder › Malware. Filtrér efter kilde (Repositorier eller Container-images) og efter tilstand:

• Åbne. Pakken findes på standard-branchen eller i mindst ét publiceret digest af imaget.
• Afvist. Nogen har besluttet, at den er acceptabel, med en begrundelse.
• Løste. Den er væk: fjernet fra standard-branchen, eller intet publiceret tag eller digest af imaget indeholder den længere. Hvis den kommer tilbage, genåbnes fundet.

Et image-fund er én række pr. image-navn. Det viser de tags og digests, der aktuelt indeholder pakken, så et nyt tag på samme indhold ikke giver et ekstra fund.

Fanens mærke og feltet Ondsindede pakker på organisationens overblik tæller åbne fund fra begge kilder.

Advarsler

Der sendes en sikkerhedsadvarsel til de medlemmer af organisationen, der har slået sikkerhedsadvarsler til, når en ondsindet pakke findes første gang, når en løst pakke kommer tilbage, og når en afvisning når sin slutdato. Et fund, der stadig er der næste dag, giver ikke en ny advarsel. Åbne fund tælles også med i sikkerhedsoversigten.

Afvis et fund

Fold Afvis ud på rækken, vælg en begrundelse, og angiv eventuelt en slutdato. Efter slutdatoen genåbnes fundet, og der advares igen. Afvisning af flere ad gangen er mulig på listen over åbne.

• Fund i et repository. Når du afviser det, holder pull requests i det repository også op med at fejle scanningen af afhængigheder på samme pakkeversion og advisory, med samme slutdato.
• Fund i et image. Når du afviser det, blokerer det ikke længere pulls af imaget (se nedenfor). Det afviser ikke den samme pakke i noget repository, heller ikke et med samme navn.

Hver afvisning registreres i revisionsloggen med hvem, hvorfor og indtil hvornår.

Pull af et image, der indeholder en ondsindet pakke

Et pull af et container-image, hvis digest har et åbent, ikke-afvist fund af en ondsindet pakke, afvises med 403 DENIED. Meddelelsen nævner pakken og advisoryen og linker til fanen Malware. Det gælder for alle organisationer, uanset deres blokeringsindstilling for scanning af images, og for pulls efter tag og efter digest.

Sådan låser du et pull op: push et rettet image, eller afvis fundet.

Håndhævet siden 2026-10-04. Mellem 2026-10-03 og 2026-10-04 kørte tjekket i observationstilstand: et pull, der ville være blevet afvist, blev logget, men stadig leveret.

Download af en registry-pakke, der indeholder en ondsindet pakke

Det samme gælder for alle andre pakketyper i dit registry (npm, Maven, PyPI, NuGet, Cargo, Go og resten): en fil, der indeholder en pakke, som er angivet i en OSV-MAL-*-advisory, afvises med 403 ved download, for alle organisationer, uanset tilstanden i deres pakkepolitik. Svaret nævner reglen. For at lade én fil komme igennem skal du anmode om en undtagelse for reglen malware; den skal godkendes af en anden person.

Håndhævet siden 2026-10-11. Før det blev sådan en download registreret og leveret.