Projekthoster: Github zeigt Sicherheitswarnungen für Python
Im Herbst vergangenen Jahres stellte der Projekthoster Github erstmals Werkzeuge bereit , die es Entwicklern deutlich vereinfachen sollen, einen Überblick über die Sicherheitslücken von Abhängigkeiten ihrer eigenen Projekte zu behalten. Umgesetzt wird das über Sicherheitswarnungen. Damit können nun auch in Python geschriebene Projekte ihren Code auf bekannte Sicherheitsprobleme prüfen, wie das Unternehmen in seinem Blog mitteilt(öffnet im neuen Fenster) .
Github hat mit seinen Sicherheitswarnungen zuvor schon die Programmiersprachen Javascript und Ruby abgedeckt. Der sogenannte Dependency Graph, der die Repositorys und seine Abhängigkeiten auf Sicherheitslücken untersucht, gibt die Warnungen aus, sobald das Werkzeug auf Pakete und Code mit bekannten Lücken stößt.
Laut Ankündigung habe sich das Team zunächst entschlossen, die Python-Unterstützung mit derzeit nur einigen wenigen, aber aktuellen Sicherheitslücken in der Datenbank zu starten. In den kommenden Wochen soll die Dependency-Graph-Datenbank mit weiteren Daten zu Sicherheitslücken aufgefüllt werden, dazu gehören explizit auch ältere und länger bekannte Lücken. In Zukunft wollen die Verantwortlichen auch die National Vulnerability Database (NVD) der US-Regierung einbinden, um auf dem aktuellen Stand bei den Sicherheitslücken für Python zu bleiben.
Zur Überprüfung auf mögliche Sicherheitslücken in Python werden von Github automatisch die Dateien requirements.txt beziehungsweise Pipfile.lock in einem Repositorys untersucht. Das geschieht bei öffentlichen Repositorys standardmäßig. Betreuer privater Repositorys müssen die Sicherheitswarnungen noch selbst aktivieren.