🥇46% от Python пакетите в репозитория PyPI съдържат потенциално небезопасен код

Група изследователи от Университета в Турку (Финландия) публикуваха резултатите от анализа на пакетите в хранилището PyPI с оглед на използването на потенциално опасни конструкции, които могат да доведат до уязвимости. При анализа на 197 хиляди пакета бяха установени 749 хиляди потенциални проблеми със сигурността. В 46% от пакетите присъства поне един такъв проблем. Сред най-често срещаните проблеми се открояват недостатъци, свързани с обработката на изключения и използването на конструкции, допускащи подмяна на код.

От установените 749 хиляди проблема 442 хиляди (41%) са обозначени като незначителни, 227 хиляди (30%) като проблеми с умерена опасност и 80 хиляди (11%) като опасни. Някои пакети се открояват с хиляди проблеми: например, в пакета PyGGI са установени 2589 проблема, главно свързани с използването на конструкцията „try-except-pass“, а в пакета appengine-sdk са намерени 2356 проблема. Голямо количество проблеми също присъства в пакетите genie.libs.ops, pbcore и genie.libs.parser.

Следва да се отбележи, че резултатите са получени на базата на проведен автоматизиран статичен анализ, който не взема предвид контекста на приложението на определени конструкции. Разработчикът на инструмента bandit, който е използван за сканиране на кода, изрази мнение, че заради доста високия брой на ложните сработвания, резултатите от проверката не могат да се считат директно за уязвимости без извършване на допълнителна ръчна проверка на всеки проблем.

Например, анализаторът смята за проблем с безопасността използването на ненадеждни генератори на случайни числа и алгоритми за хеширане, като MD5, докато в кода подобни алгоритми могат да бъдат използвани за цели, които не влияят на безопасността. Анализаторът също така счита за проблем всяка обработка на външни данни в несигурни функции, като pickle, yaml.load, subprocess и eval, но такова използване не винаги е свързано с появата на уязвимост и на практика използването на споменатите функции може да бъде реализирано без заплаха за безопасността.

Сред проверките, използвани в изследването:

Използване на потенциално небезопасни функции exec, mktemp, eval, mark_safe и др.
Несигурно задаване на права за достъп до файлове.
Свързване на мрежов сокет към всички мрежови интерфейси.
Използване на твърдо зададени пароли и ключове в кода.
Използване на предварително зададен времеви каталог.
Използване на pass и continue в обработчиците на изключения catch-all-style;
Стартиране на уеб приложения на базата на уеб фреймворка Flask с активиран режим на отстраняване на грешки.
Използване на небезопасни методи за десериализация на данни.
Използване на хеш функции MD2, MD4, MD5 и SHA1.
Използване на небезопасни криптиращи методи DES и режими на криптиране.
Използване на небезопасна реализация на HTTPSConnection в някои версии на Python.
Указване на схемата file:// в urlopen.
Използване на генератори на псевдослучайни числа при изпълнение на криптографски задачи.
Използване на протокола Telnet.
Използване на небезопасни XML парсери.

Допълнително може да се отбележи, че в каталога PyPI са открити 8 злонамерени пакета. Преди премахването им, проблемните пакети са били изтегляни над 30 хиляди пъти. За скриване на злонамерената дейност и заобикаляне на предупрежденията на простите статични анализатори в пакетите е използвано кодиране на блокове с код чрез Base64 и организация на изпълнението след декодиране чрез извикване на eval.

В пакетите noblesse, genesisbot, are, suffer, noblesse2 и noblessev2 е открит код за прихващане на номера на кредитни карти и пароли, запазени в браузерите Chrome и Edge, както и за предаване на токени на акаунти от приложението Discord и изпращане на данни за системата, включително скриншотове на съдържанието на екрана. В пакетите pytagora и pytagora2 е имало възможност за изтегляне и изпълнение на външен изпълняем код.

Източник: opennet.ru