Ondsinnede pakker

fremforge sjekker pakkene du faktisk leverer, mot OSV-varslene av typen MAL-*: pakker som et register eller en forsker har bekreftet som bevisst ondsinnede, for eksempel en typosquat eller en kapret utgivelse som stjeler legitimasjon ved installasjon. To ting sjekkes:

• Repositoryer. Den nyeste SBOM-en for hvert repositorys standardbranch.
• Containerimager. Språkpakkene i hvert image som er publisert til organisasjonens pakkeregister.

En ondsinnet pakke er alltid kritisk. Det er ikke en sårbarhet med en rettet versjon: fjern den, og behandle alle maskiner som har installert eller kjørt den, som kompromitterte.

Dette er atskilt fra Skadevareskanning, som kjører ClamAV-signaturer over opplastede filer.

Når sjekken kjører

Den daglige kjøringen er viktig fordi en pakke ofte oppføres som ondsinnet flere uker etter at den ble publisert. Kode og imager som ikke er endret, matches på nytt mot de nyeste varslene.

Matchingen kjører på fremforges egne skannere mot en frakoblet kopi av OSV-databasen. Ingenting om koden eller imagene dine sendes til osv.dev.

Hva som matches i et image

Imaget skannes med Trivy, med den samme pullen som skanning av containerimager bruker. Språkpakkene i det matches: npm, PyPI, Maven, Go, crates.io, RubyGems, NuGet, Packagist, Pub og Hex. Operativsystempakker (apk, deb, rpm) matches ikke, fordi MAL-*-varsler handler om språkregistre.

For et image med flere arkitekturer er det linux/amd64-varianten som skannes.

Funn

Funn vises under Sikkerhet › Funn › Avhengigheter › Skadevare. Filtrer på kilde (Repositoryer eller Containerimager) og på tilstand:

• Åpen. Pakken finnes på standardbranchen, eller i minst én publisert digest av imaget.
• Avvist. Noen har bestemt at den er akseptabel, med en begrunnelse.
• Løst. Den er borte: fjernet fra standardbranchen, eller ingen publisert tagg eller digest av imaget inneholder den lenger. Hvis den kommer tilbake, åpnes funnet på nytt.

Et image-funn er én rad per image-navn. Raden viser taggene og digestene som inneholder pakken nå, så en ny tagg på det samme innholdet gir ikke et nytt funn.

Merket på fanen og flisen Ondsinnede pakker på organisasjonsoversikten teller åpne funn fra begge kildene.

Varsler

Et sikkerhetsvarsel sendes til organisasjonsmedlemmene som har slått på sikkerhetsvarsler, når en ondsinnet pakke blir funnet for første gang, når en løst pakke kommer tilbake, og når en avvisning når sluttdatoen sin. Et funn som fortsatt er der neste dag, varsler ikke på nytt. Åpne funn telles også i sikkerhetsoppsummeringen.

Avvise et funn

Utvid Avvis på raden, velg en begrunnelse og angi eventuelt en sluttdato. Etter sluttdatoen åpnes funnet på nytt og varsler igjen. Masseavvisning er tilgjengelig på Open-listen.

• Repository-funn. Når du avviser det, slutter også pull requests i det repositoryet å feile avhengighetsskanningen på den samme pakkeversjonen og det samme varselet, med den samme sluttdatoen.
• Image-funn. Når du avviser det, slutter det å blokkere pull av imaget (se nedenfor). Det avviser ikke den samme pakken i noe repository, heller ikke i et som har samme navn.

Hver avvisning registreres i revisjonsloggen med hvem, hvorfor og til når.

Pulle et image som inneholder en ondsinnet pakke

En pull av et containerimage der digesten har et åpent, ikke-avvist funn av en ondsinnet pakke, avvises med 403 DENIED. Meldingen navngir pakken og varselet og lenker til Malware-fanen. Dette gjelder alle organisasjoner, uansett innstillingen for blokkering i skanning av imager, og både pull etter tagg og etter digest.

Slik åpner du for pull igjen: push et rettet image, eller avvis funnet.

Håndhevet siden 2026-10-04. Mellom 2026-10-03 og 2026-10-04 kjørte sjekken i observasjonsmodus: en pull som ville blitt avvist, ble logget, men likevel levert.

Laste ned en registerpakke som inneholder en ondsinnet pakke

Det samme gjelder alle andre pakketyper i registeret ditt (npm, Maven, PyPI, NuGet, Cargo, Go og resten): en fil som inneholder en pakke som er oppført i et OSV-varsel av typen MAL-*, avvises med 403 ved nedlasting, for alle organisasjoner, uansett modus for pakkepolicyen. Svaret navngir regelen. For å slippe gjennom én fil ber du om et unntak for regelen malware; det må godkjennes av en annen person.

Håndhevet siden 2026-10-11. Før det ble en slik nedlasting registrert og levert.