Đang tải bảng tin…
The New Stack0 Hot0 bình luận6 phút đọc
Why zero vulnerability code packages could still be your biggest software supply chain risk
Zero-CVE packages can still pose serious software supply chain risks, as recent attacks like XZ, Shai-Hulud, and tj-actions demonstrate. RapidFort and ReversingLabs have partnered to launch an Open Source Dependency Libraries catalog that goes beyond CVE scanning by applying deep-binary malware detection — using neural networks to analyze compiled binaries for hidden threats before packages enter build pipelines. The catalog works as a drop-in replacement with standard package managers (pip, Maven, npm) and requires no migration. Security experts note that while binary-level validation is a genuine improvement over manifest-based CVE matching, it still shifts rather than eliminates trust, and even rigorous review processes are not infallible, as the XZ backdoor case showed.
Nguồn: https://thenewstack.io/zero-cve-supply-chain-risk. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
Hacker News44 Hot3 phútAI
Why developers are ditching GitHub for Codeberg and self-hosting alternatives
Ngày càng nhiều dự án mã nguồn mở rời khỏi GitHub do lo ngại về thời gian downtime thường xuyên, quyền sở hữu của Microsoft, việc đào tạo AI trên mã nguồn, và định hướng chính trị. Các lựa chọn thay thế như Codeberg (dựa trên Forgejo), Sourcehut, Gitea và các nền tảng self-hosted đang thu hút sự quan tâm.
Những lập trình viên quan tâm đến tự do và bảo mật của mã nguồn nên đọc để biết cách chuyển sang các nền tảng tự chủ như Codeberg, tránh rủi ro về quyền sở hữu, AI hóa và kiểm soát chính trị từ GitHub.
