Resultate des Security-Audits
Das Homebrew-Team hat nun über die Resultate eines unabhängigen Sicherheitsaudits informiert. In dieser Untersuchung wurden insgesamt 25 Schwachstellen identifiziert. Laut Berichten seien bereits 16 dieser Schwachstellen behoben. Drei weitere werden derzeit bearbeitet und sechs wurden ähnlich wie von Homebrew bestätigt.
Homebrew als Paketmanager
Homebrew gilt als ein weit verbreiteter Open-Source-Paketmanager. Besonders in der macOS-Umgebung findet er große Beliebtheit. Dies liegt daran; dass native Paketverwaltungssysteme in macOS nicht vorhanden sind. Auf der offiziellen Website wird Homebrew als „der fehlende Paketmanager für macOS“ bezeichnet. Tatsächlich wird Homebrew mit mehreren hundert Millionen Paketinstallationen pro Jahr weltweit nahezu als Standard angesehen.
Gute Nachrichten: Keine kritischen Schwachstellen
Die positiven Aspekte des Audits sind beachtlich. Trail of Bits war der Sicherheitsdienstleister der das Audit durchgeführt hat. Angeführt wurde es im Auftrag des Open Technology Fund. Interessanterweise wurden keine kritischen Schwachstellen in Homebrew gefunden. Doch es besteht die Möglichkeit, dass Angreifer an unerwarteten Stellen ausführbaren Code laden. Dies könnte die Integrität des Systems beeinträchtigen ebenfalls wenn normalerweise Schutzmaßnahmen wie Sandbox-Techniken zum Einsatz kommen.
Sicherheitsprobleme im CI/CD-Prozess
Im CI/CD-Prozess von Homebrew wurden ebenfalls Sicherheitsprobleme entdeckt. Diese Probleme eröffnen potenziellen Angreifern die Chance, „Bottle Builds“ – die von Homebrew erstellten Binärdateien – heimlich zu modifizieren. Daraus ergibt sich das Risiko, dass nicht nur CI/CD-Workflows ausgelöst werden können, allerdings auch deren Ausführung kontrolliert wird. Sensible Informationen könnten dadurch gefährdet werden.
Maßnahmen zur Behebung
Die Homebrew-Entwickler haben die meisten dieser Schwachstellen mittlerweile behoben. Offensichtlich sind sie bestrebt die Sicherheit zu gewährleisten. Interessierte Benutzer können den ausführlichen Bericht über die Sicherheitsbewertung von Homebrew auf GitHub als PDF herunterladen. Dies dient als wertvolle Informationsquelle.
Dennoch bleibt Vorsicht geboten. Insider oder böswillige Maintainer können die Integrität und Isolationsmechanismen des CI/CD-Systems untergraben. In solchen Fällen könnte der bestehende Schutz unzureichend sein.
Kommentare
: Risiken durch externe Quellen
Trail of Bits und das Homebrew-Team betonen gemeinsam die Herausforderungen die Paketmanager mit sich bringen. Es ist die natürliche Beschaffenheit dieser Systeme, dass sie Code aus externen Quellen beziehen. Dies birgt das inhärente Risiko – zwischen erwartetem und unerwartetem Code zu unterscheiden. Dennoch wird Homebrew insgesamt als ausgereiftes System betrachtet. Besonders hervorzuheben ist die reduzierte Notwendigkeit für menschliche Eingriffe im Paketlebenszyklus.