Het populaire DevOps-platform GitLab heeft een opensourcetool gelanceerd waarmee ontwikkelaars kwaadaardige code in hun dependencies kunnen vinden. Het gaat dan om de externe library's en packages die ontwikkelaars gebruiken om functionaliteit aan hun eigen software toe te voegen.

Er zijn tal van packages en library's te vinden die een bepaalde functionaliteit bieden, zodat een ontwikkelaar die niet zelf hoeft te ontwikkelen. "Hoewel het hergebruik van publiek beschikbare packages de tijd om een app te ontwikkelen verkort, brengt het ook allerlei uitdagingen met zich mee. Apps zijn al snel van honderden packages afhankelijk, en ontwikkelaars gaan er vaak gewoon vanuit dat deze packages geen kwaadaardige code bevatten", zegt Dennis Appelt van GitLab.

Om kwaadaardige code in dergelijke gebruikte packages en libraries te vinden ontwikkelde GitLab Package Hunter. Deze tool kijkt of de dependencies van een programma kwaadaardige code bevatten of ander onverwacht gedrag vertonen. Hiervoor installeert Package Hunter de betreffende dependencies in een sandbox-omgeving en monitort system calls die tijdens de installatie worden uitgevoerd. Verdachte system calls worden vervolgens aan de gebruiker gerapporteerd.

Op dit moment ondersteunt Package Hunter het testen van de dependencies van NodeJS-modules en Ruby Gems. Zelf maakt GitLab sinds november 2020 gebruik van de tool. Door die publiek te maken hoopt het platform dat andere softwareprojecten kwaadaardige code in hun dependencies kunnen vinden voordat die schade aanrichten en het vertrouwen in open source supply chains te vergroten.