В репозитория PyPI са открити около 5000 оставени в кода секрети и 8 злонамерени обфускатора

Изследователите на GitGuardian публикуваха резултатите от анализа на конфиденциални данни, забравени от разработчиците в кода, публикуван в репозитория на Python пакетите PyPI (Python Package Index). След изучаване на над 9.5 милиона файла и 5 милиона версии на пакети, свързани с 450 хиляди проекта, бяха открити 56866 факта на изтичане на конфиденциални данни. Ако се вземат предвид само уникалните данни, без дублирания в различни версии, броят на установените изтичания е 3938, а броят на проектите, в които има поне едно изтичане — 2922.

Общо са открити над 150 типа изтичания на конфиденциална информация, сред които обикновени пароли, криптографски ключове, токени за достъп до облачни услуги, системи за непрекъсната интеграция и API. Най-малко 768 удостоверения остават активни по време на проучването. Като примери за популярни изтичания, които остават актуални, се споменават ключовете за достъп до Azure Active Directory, удостоверенията за SSH, MongoDB, MySQL и PostgreSQL, ключовете за GitHub OAuth App, Dropbox и Auth0, данните за вход в Coinbase и Twilio.

От новите, набиращи популярност типове изтичания се споменават токените за достъп до ботове в Telegram, броят на които се удвои в началото на 2021 година, а след това отново се удвои през пролетта на 2023 година. Постоянен ръст на изтичанията също се наблюдава от 2020 година за ключовете за достъп до Google API, а от 2022 година — за данни за достъп до СУБД. От пакетите, водещи по брой изтичания, се споменават пакетите chatllm и safire, в които бяха забравени 209 ключа за OpenAI и 320 ключа за Google Cloud.

Сред типовете файлове, в които беше установен най-голям брой изтичания, освен файлове с разширение «.py», се отбелязват файлове с разширения .json (610 изтичания), .md (270), PKG-INFO (240), METADATA (210), .txt (170), както и файлове README (209) и файлове от директории с име test (675). Много изтичания също са свързани с пропуски и грешки при настройката на изключение на файлове по време на изграждането на пакети. Например, файлове с локални конфигурационни файлове (.cookiecutterrc, .env, .pypirc и др.) могат да бъдат изключени от Git репозитория чрез файла «.gitignore», който не се отчита при създаването на пакета. В частност, в репозитория бяха намерени 43 файла .pypirc, съдържащи данни за достъп до PyPI. В 15 случая на изтичания разработчиците не планирали публично да публикуват пакети, първоначално създадени за вътрешна употреба, но по погрешка ги публикували в PyPI.

Също така могат да се споменат още два събития, свързани с PyPI:

• В репозитория PyPI бяха установени 8 злонамерени пакета, представяни като утилити за обфускация, т.е. преобразуване на кода в нечетим вид, усложняващ възстановяването на алгоритъма за работа. Установените пакети съдържаха в имената си низ «pyobf» (Pyobftoexe, Pyobfusfile, Pyobfexecute, Pyobfpremium, Pyobflight, Pyobfadvance, Pyobfuse и pyobfgood) и бяха изтеглени повече от 2000 пъти.

  Интегрираният в пакетите злонамерен код беше специфичен за платформата Windows и позволяваше свързване с външен управител сървър, изпълнение на произволни команди на компютъра на разработчика, намиране и изпращане на външен сървър на конфиденциална информация, такава като ключове за достъп, както и предаване на произволни файлове от системата. Освен това злонамереният код можеше да изпълнява функции на кейлогер, да прихваща пароли, въведени в Chrome, да създава скрийншоти, да записва звук и дори да управлява уеб камерата.

• Публикувани са резултатите от независимия одит на кодовата база на инструментариума, използван за организиране на работата на репозитория pypi.org, и на фреймворка "cabotage", участващ в инфраструктурата за оркестрация на контейнери. Одитът е проведен с подкрепата на неправителствената организация OTF (Open Technology Fund). В хода на одита не са открити проблеми с висок риск, а изходните файлове са признати за отговарящи на основните изисквания за безопасно писане на код. Въпреки това, е отчетено недостатъчно покритие с тестове на кодовата база на cabotage и са идентифицирани 29 проблема, от които на осем е определено умерен риск, на 6 — нисък, а 14 са маркирани като информационни забележки.

  Най-забележимите проблеми:

  • Недостатъчната проверка на цифровите подписи, използвани за интеграция на PyPI с AWS SNS, позволяваше изпращането на уведомления на имейл адреси на отделни потребители.
  • Изтичане на информация в обработчика на изтегляния, позволяващо определяне на съществуването на акаунт без генериране на събития за опити за вход.
  • Използването на ненадеждни криптографски хешове, което не изключва атаки по отравяне на кеша.
  • При наличие на права за стартиране на процеси на сборка чрез cabotage, атакуващият потенциално може да успее да подмени собствените си команди.
  • При наличие на права за разгръщане (deployment) в cabotage, атакуващият потенциално може да разгръща легитимно изглеждащ образ.

Източник: opennet.ru