{"meta":{"title":"Finden und Beheben Ihrer ersten Abhängigkeitsverwundbarkeit","intro":"Erfahren Sie, wie Sie Ihre Abhängigkeiten sicher halten, indem Sie Dependabot und seine Funktionen in einem Demo-Repository aktivieren.","product":"Erste Schritte","breadcrumbs":[{"href":"/de/get-started","title":"Erste Schritte"},{"href":"/de/get-started/learning-to-code","title":"Programmieren lernen"},{"href":"/de/get-started/learning-to-code/finding-and-fixing-your-first-dependency-vulnerability","title":"Sichern Sie Ihre Abhängigkeiten"}],"documentType":"article"},"body":"# Finden und Beheben Ihrer ersten Abhängigkeitsverwundbarkeit\n\nErfahren Sie, wie Sie Ihre Abhängigkeiten sicher halten, indem Sie Dependabot und seine Funktionen in einem Demo-Repository aktivieren.\n\nEs ist üblich, vordefinierte Codesammlungen in deinem Projekt zu verwenden. Diese werden als **Bibliotheken** oder **Pakete** bezeichnet. Diese Codemodule sind sehr zeitsparend, sodass du dich auf die neuen, kreativen Aspekte deiner Arbeit konzentrieren kannst, anstatt große wiederverwendbare Komponenten von Grund auf neu zu programmieren. Wenn sie deinem Projekt hinzugefügt werden, werden sie als **Abhängigkeiten** bezeichnet, da deine Arbeit vom darin enthaltenen Code abhängig ist.\n\nWährend die Verwendung von Abhängigkeiten vollkommen normal ist, können Abhängigkeiten Coderisiken enthalten, was wiederum dazu führen würde, dass dein Projekt unsicher ist. Glücklicherweise können Tools wie Dependabot Abhängigkeitsrisiken finden, Pullanforderungen auslösen, um sie zu beheben, und sogar verhindern, dass sie in Zukunft stattfinden. In diesem Tutorial erfahren Sie, wie Sie Dependabot aktivieren und verwenden können, um Ihre Abhängigkeiten abzusichern und deren Funktionen zu nutzen.\n\n## Einrichten des Demo-Repositorys\n\nLassen Sie uns damit beginnen, ein Demoprojekt mit einigen Abhängigkeitsverletzlichkeiten zu forken. Da das Projekt nicht bereitgestellt wird, besteht in dieser Übung **kein Sicherheitsrisiko**.\n\n1. Navigieren Sie zum [`new2code/dependabot-demo`](https://github.com/new2code/dependabot-demo)-Repository.\n2. Klicken Sie oben rechts auf der Seite auf **Fork**.\n3. Klicke auf der angezeigten Seite auf **Create fork**.\n\n## Aktivieren von Sicherheitsfunktionen für Abhängigkeiten\n\nNachdem wir das Projekt eingerichtet haben, konfigurieren wir Dependabot, um Korrekturen für unsichere Abhängigkeiten zu finden und zu erstellen.\n\n1. Klicken Sie in der Navigationsleiste für Ihr Repository auf ** Security and quality**.\n2. Klicken Sie in der Zeile \"Dependabot alerts\" auf **\"Aktivieren\" Dependabot alerts**.\n3. Klicken Sie im Abschnitt \"Dependabot\" neben \"Dependabot alerts\" auf \"**Aktivieren**\".\n4. Lies im daraufhin angezeigten Popup die Anweisung zum Aktivieren des Abhängigkeitsdiagramms, und klicke dann auf **Enable**.\n5. de-DE: Um das automatische Öffnen von Pull-Anfragen zur Behebung von Abhängigkeits-Schwachstellen zu ermöglichen, klicken Sie neben \"Dependabot security updates\" auf **Aktivieren**.\n\n## Anzeigen Ihrer unsicheren Abhängigkeiten\n\nMit Dependabot konfiguriert, finden wir heraus, welche unserer Abhängigkeiten Sicherheitslücken enthalten.\n\n1. Klicken Sie in der Navigationsleiste für Ihr Repository auf ** Security and quality**.\n2. Um das Dependabot alerts Ihres Repositories anzuzeigen, klicken Sie in der Seitenleiste auf **Dependabot**.\n3. Wenn du detaillierte Informationen zu einer Warnung anzeigen möchtest, klicke auf den Warnungstitel. Für diese Übung klickst du auf **Command Injection in hot-formula-parser**.\n\n## Grundlegendes zu einer Dependabot-Warnung\n\nJetzt, da Dependabot einige Sicherheitsrisiken in unseren Abhängigkeiten identifiziert hat, lassen Sie uns die in der Warnung \"Command Injection in hot-formula-parser\" aufgeschlüsselten Informationen genauer betrachten.\n\n### Fix-Zusammenfassung\n\nUnterhalb des Titels der Warnung wird eine kurze Zusammenfassung des **Fixes** für diese Sicherheitsanfälligkeit angezeigt, einschließlich der Anzahl der Warnungen, die geschlossen werden, und der Ort der Sicherheitsanfälligkeit. In unserem Fall teilt uns die Warnung mit, dass ein Upgrade des `hot-formula-parser` Pakets auf Version 3.0.1 eine Dependabot warnung beheben wird, die in unserer `javascript/package-lock.json` Datei identifiziert wurde.\n\nIn diesem Abschnitt werden auch die Fortschritte von Dependabot beim Erstellen eines Pull-Requests nachverfolgt, um die Sicherheitsanfälligkeit zu beheben. Sobald ein Fix verfügbar ist, wird eine Schaltfläche mit der Bezeichnung \" Sicherheitsupdate überprüfen\" angezeigt, die mit der Pullanforderung verknüpft ist.\n\n\n\n### Details zum Sicherheitsrisiko\n\nUnter den Fixdetails Dependabot finden Sie weitere Informationen zur Sicherheitsanfälligkeit, einschließlich:\n\n* Den Namen des anfälligen Pakets\n* Die Versionen des Pakets, die die Sicherheitsanfälligkeit enthalten\n* Die Version des Pakets, das die Sicherheitsanfälligkeit behebt\n* Details zur Art der Sicherheitsanfälligkeit und wie sie ausgenutzt werden kann\n\n\n\nIn dieser Warnung können wir sehen, dass die `parse`-Funktion im `hot-formula-parser`-Paket nicht ordnungsgemäß überprüft, ob die Benutzereingabe sicher ist, bevor sie ausgeführt wird, wodurch Angreifer böswillige Befehle ausführen können.\n\n> \\[!TIP] Wenn Sie die Details der Sicherheitslücke nicht vollständig verstehen, versuchen Sie, jemanden zu bitten, sie zu erklären.\n\n### Zeitachse\n\nSchließlich kannst du die Zeitleiste der Warnung am unteren Rand der Seite sehen. Unsere Zeitachse enthält derzeit den Zeitstempel beim Dependabot Öffnen der Warnung und wird automatisch aktualisiert, wenn wir die Sicherheitsanfälligkeit beheben.\n\n\n\n## Sichern eigener Abhängigkeiten\n\nUm unser Projekt schnell und einfach zu sichern, wenden wir den erstellten Fix Dependabot an.\n\n1. Klicken Sie im Warnungsfeld mit der Fixzusammenfassung auf **Sicherheitsupdate überprüfen**.\n2. Klicken Sie auf der Pull-Request-Seite auf **\"Dateien geändert\"**, um die Änderungen von Dependabot anzuzeigen. Nachdem Sie die Änderungen überprüft haben, klicken Sie auf **Unterhaltung**, um zur Übersicht über den Pull-Request zurückzukehren.\n3. Um den Fix anzuwenden, klicke unten auf der Seite auf **Merge pull request**, und klicke dann auf **Confirm merge**.\n\n Sobald der Pull-Request zusammengeführt wird, wird die verknüpfte Dependabot Warnung automatisch geschlossen, und die Behebungszeit wird der Zeitachse hinzugefügt.\n\n## Verhindern zukünftiger Abhängigkeitsrisiken\n\nUm unsichere Abhängigkeiten zukünftig zu vermeiden, lassen Sie zu, dass Dependabot automatisch Pull-Requests öffnet, um Ihre Abhängigkeiten zu aktualisieren, sobald neue Versionen freigegeben werden.\n\n1. Klicken Sie in der Navigationsleiste für Ihr Repository auf **\"Einstellungen\"**.\n2. Klicken Sie im Abschnitt \"Sicherheit\" der Randleiste auf **Advanced Security**.\n3. Klicken Sie neben \"Dependabot version updates\" auf **\"Aktivieren**\".\n\n## Nächste Schritte\n\nNachdem Sie nun ihre Features in einem Demo-Repository ausprobiert Dependabot haben, aktivieren Sie **sie in Ihren eigenen Projekten** , um Abhängigkeitsrisiken problemlos zu finden, zu beheben und zu verhindern."}