Homebrew 7.0.0 arriva con uno scanner di vulnerabilità integrato

Homebrew, il gestore di pacchetti open source usato soprattutto su macOS, ha rilasciato la versione 7.0.0 con uno scanner di vulnerabilità integrato, controlli di sicurezza più solidi e il rilascio completo della sua interfaccia grafica nativa BrewUI. Homebrew permette agli utenti di installare software in modo simile ai gestori di pacchetti Linux: scarica automaticamente i pacchetti e risolve e installa le loro dipendenze, cioè gli altri pezzi di software di cui un pacchetto ha bisogno per funzionare. La nuova release offre agli utenti e agli amministratori macOS un modo integrato per verificare i pacchetti installati rispetto a problemi di sicurezza noti.

La portata del progetto rende importanti queste aggiunte alla sicurezza. Homebrew ha 49.000 stelle e 11.000 fork su GitHub, segno di quanto sia ampiamente utilizzato. Gli attori delle minacce hanno spesso preso di mira lo strumento per diffondere malware info-stealer, software dannoso progettato per raccogliere informazioni sensibili da un computer, tramite siti clone (siti web che imitano la pagina ufficiale di Homebrew) ed esche ClickFix (falsi messaggi di errore o istruzioni che ingannano le persone inducendole a incollare comandi dannosi). Un gestore di pacchetti è un bersaglio prezioso perché una compromissione riuscita può colpire contemporaneamente molte applicazioni su un sistema.

BrewUI, l'interfaccia grafica nativa ufficiale, è ora completamente disponibile su macOS 26 "Tahoe" e versioni successive. Offre un modo semplice per sfogliare e cercare i pacchetti e per ispezionare e gestire le loro dipendenze. L'interfaccia grafica rappresenta un'alternativa visiva per gli utenti che preferiscono non digitare comandi o che vogliono una visione più chiara di ciò che è installato.

Lo scanner di vulnerabilità è disponibile tramite un nuovo comando, brew vulns. Può controllare tutte le formule installate, una singola formula specificata per nome, oppure le formule e le loro dipendenze dichiarate in un Brewfile. In Homebrew, le formule (o formulae) sono definizioni di pacchetti basate su Ruby che indicano a Homebrew come scaricare file, eseguire comandi di build o installare dipendenze. I cask vengono usati per installare applicazioni grafiche, font, plugin e altro software macOS. Per ogni formula, Homebrew determina il repository del software upstream (il progetto originale dove risiede il codice) e la sua versione o tag. Per i pacchetti installati, lo strumento usa le informazioni di un SBOM disponibile (software bill of materials, un inventario leggibile da una macchina dei componenti) oppure ricava la fonte dalla definizione della formula.

Il comando invia il repository upstream e la versione o il tag a OSV.dev, un database pubblico di vulnerabilità, in una query batch. Recupera i record di vulnerabilità corrispondenti, verifica le potenziali corrispondenze, applica filtri opzionali di gravità e infine controlla se Homebrew ha già applicato una patch di sicurezza a quella formula. Questo aiuta gli utenti a distinguere tra una formula ancora vulnerabile e una in cui Homebrew ha applicato un fix backportato senza cambiare il numero di versione upstream.

Homebrew 7.0.0 introduce anche un database di advisory specifico per Homebrew. Questo database pubblica record in formato OSV (un formato comune per condividere informazioni sulle vulnerabilità) che documentano le vulnerabilità che interessano versioni e revisioni delle formule Homebrew, compresi i fix backportati senza cambiare la versione del software upstream. Il team del progetto spiega: "Homebrew pubblica i risultati degli advisory nella formula API e in un indice di advisory scaricabile, aiutando altri strumenti a distinguere le vulnerabilità ancora aperte dai fix già distribuiti." I record sono liberamente riutilizzabili sotto CC0, una licenza di pubblico dominio, offrendo ai team di sicurezza una fonte condivisa di dati sulle vulnerabilità specifici di Homebrew. Ciò significa che gli strumenti e i team di sicurezza possono utilizzare gli advisory di Homebrew senza dover fare scraping del sito del progetto o mantenere mappature separate.

Anche il sandboxing è più rigoroso nella versione 7.0.0. L'accesso alle directory home degli utenti è bloccato per impostazione predefinita, e i download di dipendenze con accesso alla rete sono separati dall'installazione offline. Questo riduce la possibilità che una formula o un cask dannoso possa leggere file nella cartella home di un utente o raggiungere la rete durante un'installazione offline. Homebrew osserva inoltre che installazioni e aggiornamenti sono più veloci nella nuova release perché può scaricare, preparare e installare i pacchetti in modo concorrente, lavorando su diversi contemporaneamente.

Per i proprietari di siti web e i team IT che gestiscono macchine di sviluppo o di staging su macOS, mantenere sicuri i gestori di pacchetti fa parte della più ampia supply chain. Un pacchetto dannoso o un difetto noto in una dipendenza può esporre codice sorgente, credenziali e dati dei clienti. Per i team che valutano come distribuire queste modifiche su molte macchine, AEU-I offre IT, infrastruttura e consulenza security-first che possono aiutare a valutare controlli come il nuovo scanner di vulnerabilità di Homebrew.