De Dependabot van GitHub wacht wegens veiligheidsredenen voortaan drie dagen met het aanbieden van versie-updates voor packages. Het gaat dan specifiek om packages waar softwareprojecten afhankelijk van zijn. Softwareontwikkelaars maken binnen hun eigen software vaak gebruik van allerlei packages van andere ontwikkelaars, ook wel dependencies genoemd.

De afgelopen jaren lukte het aanvallers herhaaldelijk om allerlei packages van malware te voorzien. In het geval van packages die een dependency voor andere softwareprojecten zijn, raakten zo ook deze projecten besmet. Om ervoor te zorgen dat dependency packages up-to-date blijven zijn er verschillende tools beschikbaar, waaronder de Dependabot. In het geval van een beveiligingsupdate of versie-update opent Dependabot een pull request. Afhankelijk van hoe de build pipeline van het betreffende softwareproject is ingericht kan de update al dan niet automatisch worden geïnstalleerd.

Vanwege de impact van besmette dependency packages heeft GitHub nu besloten om drie dagen te wachten voordat Dependabot een nieuwe versie van een package aanbiedt. Dit zou onderzoekers voldoende tijd moeten geven om eventuele malware te ontdekken. In het geval van beveiligingsupdates voor een package zal Dependabot daarvoor nog steeds meteen pull request openen.

GitHub merkt op dat de nieuwe wachtperiode geen bescherming biedt tegen aanvallers die meer geduld hebben en bijvoorbeeld een 'slapende' backdoor installeren, de maintainer saboteren of het buildsysteem compromitteren. Het doel is dan ook voornamelijk om veelvoorkomende supplychain-aanvallen tegen te gaan. GitHub-gebruikers kunnen de wachtperiode en andere eigenschappen met betrekking tot de 'cooldown' zelf aanpassen.