Авторът на mitmproxy, инструмента за анализ на HTTP/HTTPS трафик, забеляза появата в каталога на Python пакети PyPI (Python Package Index) на клон на своя проект. Клонът се разпространяваше под подобно име mitmproxy2 и несъществуваща версия 8.0.1 (актуалното издание на mitmproxy е 7.0.4), като целта беше невнимателните потребители да възприемат пакета като нова версия на основния проект (тайпсквотинг) и да искат да изпробват новата версия.
По същество mitmproxy2 беше аналогичен на mitmproxy, с изключение на промените, свързани с реализирането на злонамерен функционалност. Промените се състоят в спирането на поставянето на HTTP заглавието „X-Frame-Options: DENY“, което забранява обработката на съдържание в iframe, деактивирането на защитата срещу XSRF атаки и задаването на заглавията „Access-Control-Allow-Origin: *“, „Access-Control-Allow-Headers: *“ и „Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS.“
Посочените промени премахваха ограниченията за достъп до HTTP API, използвано за управление на mitmproxy през уеб интерфейса, което позволяваше на всеки злосторник, намиращ се в същата локална мрежа, да инициира изпълнението на своя код на системата на потребителя чрез изпращане на HTTP заявка.
Администрацията на каталога се съгласи, че направените промени могат да се интерпретират като злонамерени, а самият пакет като опит за прокарване на друг продукт под вида на основния проект (в описанието на пакета се твърдеше, че това е нова версия на mitmproxy, а не клон). След премахването на пакета от каталога, на следващия ден в PyPI беше публикуван нов пакет mitmproxy-iframe, описанието на който също напълно съвпадаше с официалния пакет. В момента пакетът mitmproxy-iframe също е премахнат от каталога PyPI.
Източник: opennet.ru
