Dependencias y su origen

El manifiesto dice qué paquetes quiere el proyecto y qué rango de versiones acepta. El archivo de bloqueo dice qué versión exacta se instaló, desde qué registro y con qué huella de integridad. El evaluador lee el bloqueo, porque es lo que de verdad entra en la imagen, y lo compara con lo que el cliente cree tener.

La técnica de MITRE ATT&CK que cubre el compromiso de la cadena de suministro de software (T1195.002) recuerda por qué importa: un paquete o una herramienta alterados antes de llegar a la víctima entran con toda la confianza del proceso de construcción.

Cuando una empresa publica paquetes en su registro interno sin un prefijo propio, el gestor de paquetes puede no saber dónde buscarlos y acudir al registro público. Si allí existe un paquete con el mismo nombre y una versión mayor, el rango del manifiesto puede aceptarlo. Es una confusión de origen: no hace falta tocar ningún servidor del cliente, basta con que su configuración no diga dónde vive cada nombre.

Lee la configuración de registros, el extracto del bloqueo y las versiones del registro interno.

El dato que convierte la sospecha en hallazgo es la versión. Si la versión del bloqueo no está entre las que publicó el equipo, el paquete instalado no es el suyo, aunque se llame igual. El historial del bloqueo dice además cuándo y quién hizo el cambio.

Los flujos usan acciones escritas por terceros. Una referencia por etiqueta (@v3) o por rama (@main) puede cambiar sin que el repositorio del cliente cambie: quien controla la acción mueve la etiqueta y la siguiente ejecución usa otro código. La documentación de la plataforma dice que fijar la huella completa del commit es la única forma de usar una acción como versión inmutable. La política del cliente marca qué acciones acepta por etiqueta.

Leer el bloqueo no dice qué hace el paquete instalado. El evaluador no lo ejecuta ni lo analiza fuera del alcance: reporta lo que la evidencia sostiene, que es que la construcción instaló una pieza de origen no controlado, y pide al cliente que su equipo de respuesta revise las imágenes construidas desde esa fecha.