46% от пакетите на Python в хранилището на PyPI съдържат потенциално опасен код

Група изследователи от университета в Турку (Финландия) публикува резултатите от анализ на пакети в хранилището на PyPI за използване на потенциално опасни конструкции, които могат да доведат до уязвимости. По време на анализа на 197 хиляди пакета бяха идентифицирани 749 хиляди потенциални проблеми със сигурността. 46% от пакетите имат поне един такъв проблем. Сред най-често срещаните проблеми са недостатъци, свързани с обработката на изключения и използването на функции, които позволяват заместване на код.

От идентифицираните 749 хиляди проблема, 442 хиляди (41%) са означени като незначителни, 227 хиляди (30%) като умерени проблеми и 80 хиляди (11%) като опасни. Някои пакети се отличават от тълпата и съдържат хиляди проблеми: например пакетът PyGGI идентифицира 2589 проблема, свързани главно с използването на конструкцията „try-except-pass“, а пакетът appengine-sdk откри 2356 проблема. Голям брой проблеми присъстват и в пакетите genie.libs.ops, pbcore и genie.libs.parser.

Трябва да се отбележи, че резултатите са получени въз основа на автоматизиран статичен анализ, който не отчита контекста на приложение на определени структури. Разработчикът на бандитския инструментариум, който беше използван за сканиране на кода, изрази мнение, че поради доста големия брой фалшиви положителни резултати, резултатите от сканирането не могат директно да се считат за уязвимости без допълнителен ръчен преглед на всеки проблем.

Например, анализаторът счита използването на ненадеждни генератори на произволни числа и алгоритми за хеширане, като MD5, за проблем със сигурността, докато в кода такива алгоритми могат да се използват за цели, които не засягат сигурността. Анализаторът също така счита всяка обработка на външни данни в опасни функции като pickle, yaml.load, subprocess и eval за проблем, но това използване не включва непременно уязвимост и всъщност използването на тези функции може да бъде приложено без заплаха за сигурността .

Сред тестовете, използвани в изследването:

• Използване на потенциално опасни функции exec, mktemp, eval, mark_safe и др.
• Несигурна настройка на правата за достъп до файлове.
• Свързване на мрежов сокет към всички мрежови интерфейси.
• Използване на твърдо кодирани пароли и ключове.
• Използване на предварително дефинирана временна директория.
• Използване на pass и continue в манипулатори на изключения в стил catch-all;
• Стартиране на уеб приложения, базирани на уеб рамката на Flask с активиран режим за отстраняване на грешки.
• Използване на опасни методи за десериализация на данни.
• Използва хеш функции MD2, MD4, MD5 и SHA1.
• Използване на несигурни DES шифри и режими на криптиране.
• Използване на несигурна реализация на HTTPSConnection в някои версии на Python.
• Указване на схемата file:// в urlopen.
• Използване на генератори на псевдослучайни числа при изпълнение на криптографски задачи.
• Използване на протокола Telnet.
• Използване на несигурни XML анализатори.

Освен това може да се отбележи, че в директорията на PyPI са открити 8 злонамерени пакета. Преди премахването проблемните пакети са изтеглени повече от 30 хиляди пъти. За да се скрие злонамерена дейност и да се заобиколят предупрежденията от прости статични анализатори в пакети, кодовите блокове бяха кодирани с помощта на Base64 и изпълнени след декодиране с помощта на извикване на eval.

Пакетите noblesse, genesisbot, are, treat, noblesse2 и noblessev2 съдържат код за прихващане на номера на кредитни карти и пароли, съхранени в браузърите Chrome и Edge, както и за прехвърляне на токени на акаунт от приложението Discord и изпращане на системни данни, включително екранни снимки на съдържанието на екрана . Пакетите pytagora и pytagora2 включват възможност за зареждане и изпълнение на изпълним код на трета страна.

Източник: opennet.ru