Homebrew 7.0.0 liefert integrierten Schwachstellen-Scanner

Homebrew, der meist auf macOS verwendete Open-Source-Paketmanager, hat Version 7.0.0 mit einem integrierten Schwachstellen-Scanner, strengeren Sicherheitskontrollen und der vollständigen Veröffentlichung seiner nativen grafischen Oberfläche BrewUI veröffentlicht. Homebrew ermöglicht die Installation von Software ähnlich wie Linux-Paketmanager: Es lädt Pakete automatisch herunter und löst deren Abhängigkeiten auf und installiert sie – also die anderen Softwareteile, die ein Paket zum Laufen benötigt. Die neue Version bietet macOS-Nutzern und -Administratoren eine integrierte Möglichkeit, installierte Pakete auf bekannte Sicherheitsprobleme zu prüfen.

Die Reichweite des Projekts macht diese Sicherheitsergänzungen wichtig. Homebrew hat 49.000 Sterne und 11.000 Forks auf GitHub – ein Zeichen dafür, wie weit verbreitet es ist. Bedrohungsakteure haben das Tool häufig angegriffen, um Info-Stealer-Malware – bösartige Software, die sensible Informationen von einem Computer sammelt – über Klon-Websites (Websites, die die offizielle Homebrew-Seite nachahmen) und ClickFix-Köder (gefälschte Fehlermeldungen oder Anweisungen, die Menschen dazu verleiten, schädliche Befehle einzufügen) zu verbreiten. Ein Paketmanager ist ein wertvolles Ziel, weil eine erfolgreiche Kompromittierung viele Anwendungen auf einem System gleichzeitig betreffen kann.

BrewUI, die offizielle native grafische Oberfläche, ist jetzt vollständig auf macOS 26 „Tahoe“ und neuer verfügbar. Sie bietet eine einfache Möglichkeit, Pakete zu durchsuchen und zu finden sowie deren Abhängigkeiten zu prüfen und zu verwalten. Die GUI bietet eine visuelle Alternative für Nutzer, die keine Befehle eingeben möchten oder eine klarere Ansicht dessen wünschen, was installiert ist.

Der Schwachstellen-Scanner ist über einen neuen Befehl verfügbar: brew vulns. Er kann alle installierten Formeln, eine einzelne benannte Formel oder Formeln und ihre in einem Brewfile deklarierten Abhängigkeiten prüfen. In Homebrew sind Formeln (oder formulae) Ruby-basierte Paketdefinitionen, die Homebrew mitteilen, wie Dateien heruntergeladen, Build-Befehle ausgeführt oder Abhängigkeiten installiert werden. Casks werden verwendet, um grafische Anwendungen, Schriftarten, Plugins und andere macOS-Software zu installieren. Für jede Formel ermittelt Homebrew das Upstream-Software-Repository (das ursprüngliche Projekt, in dem der Code liegt) und seine Version oder sein Tag. Bei installierten Paketen verwendet das Tool Informationen aus einem verfügbaren SBOM (Software-Stückliste, ein maschinenlesbares Inventar der Komponenten) oder leitet die Quelle aus der Formeldefinition ab.

Der Befehl sendet das Upstream-Repository und die Version oder das Tag in einer Batch-Abfrage an OSV.dev, eine öffentliche Schwachstellen-Datenbank. Er ruft passende Schwachstellen-Datensätze ab, überprüft potenzielle Übereinstimmungen, wendet optionale Schweregradfilter an und prüft schließlich, ob Homebrew bereits einen Sicherheitspatch für diese Formel angewendet hat. Dies hilft Nutzern, zwischen einer Formel, die noch anfällig ist, und einer, bei der Homebrew einen Fix zurückportiert hat, ohne die Upstream-Versionsnummer zu ändern, zu unterscheiden.

Homebrew 7.0.0 führt außerdem eine Homebrew-spezifische Advisory-Datenbank ein. Diese Datenbank veröffentlicht Datensätze im OSV-Format (ein gängiges Format zum Teilen von Schwachstelleninformationen), die Schwachstellen dokumentieren, die Homebrew-Formelversionen und -Revisionen betreffen, einschließlich Fixes, die zurückportiert wurden, ohne die Upstream-Softwareversion zu ändern. Das Projektteam erklärt: „Homebrew veröffentlicht Advisory-Ergebnisse in der Formel-API und einem herunterladbaren Advisory-Index, damit andere Tools offene Schwachstellen von bereits ausgelieferten Fixes unterscheiden können.“ Die Datensätze sind unter CC0, einer Public-Domain-Lizenz, frei wiederverwendbar, was Sicherheitsteams eine gemeinsame Quelle für Homebrew-spezifische Schwachstellendaten bietet. Das bedeutet, dass Sicherheitstools und -teams die Advisories von Homebrew nutzen können, ohne die Website des Projekts scrapen oder separate Zuordnungen pflegen zu müssen.

Auch die Sandboxing ist in Version 7.0.0 strenger. Der Zugriff auf die Home-Verzeichnisse der Nutzer ist standardmäßig blockiert, und netzwerkfähige Abhängigkeits-Downloads sind von der Offline-Installation getrennt. Dies verringert die Chance, dass eine bösartige Formel oder ein Cask Dateien im Home-Ordner eines Nutzers lesen oder während einer Offline-Einrichtung auf das Netzwerk zugreifen kann. Homebrew weist außerdem darauf hin, dass Installationen und Upgrades in der neuen Version schneller sind, weil sie Pakete gleichzeitig herunterladen, vorbereiten und installieren kann – also an mehreren gleichzeitig arbeitet.

Für Website-Betreiber und IT-Teams, die Entwicklungs- oder Staging-Maschinen unter macOS betreiben, ist die Sicherheit von Paketmanagern Teil der breiteren Lieferkette. Ein bösartiges Paket oder eine bekannte Schwachstelle in einer Abhängigkeit kann Quellcode, Anmeldedaten und Kundendaten offenlegen. Für Teams, die bewerten, wie diese Änderungen auf vielen Maschinen ausgerollt werden können, bietet AEU-I Security-First-IT, Infrastruktur und Beratung, die bei der Bewertung von Kontrollen wie dem neuen Schwachstellen-Scanner von Homebrew helfen kann.