Злонамерените пакети mitmproxy2 и mitmproxy-iframe са премахнати от директорията на PyPI

Авторът на mitmproxy, инструмент за анализиране на HTTP/HTTPS трафик, обърна внимание на появата на разклонение на неговия проект в директорията PyPI (Python Package Index) на пакетите на Python. Форкът беше разпространен под подобно име mitmproxy2 и несъществуващата версия 8.0.1 (текущо издание mitmproxy 7.0.4) с очакването, че невнимателните потребители ще възприемат пакета като ново издание на основния проект (typesquatting) и ще искат да пробвам новата версия.

По своя състав mitmproxy2 беше подобен на mitmproxy, с изключение на промените с внедряването на злонамерена функционалност. Промените се състоят в спиране на настройката на HTTP заглавката „X-Frame-Options: DENY“, която забранява обработката на съдържание вътре в iframe, деактивиране на защитата срещу XSRF атаки и настройка на заглавките „Access-Control-Allow-Origin: *“, „Access-Control-Allow-Headers: *" и „Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS".

Тези промени премахнаха ограниченията за достъп до HTTP API, използван за управление на mitmproxy чрез уеб интерфейса, което позволи на всеки атакуващ, разположен в същата локална мрежа, да организира изпълнението на кода си в системата на потребителя, като изпрати HTTP заявка.

Администрацията на директорията се съгласи, че направените промени могат да се тълкуват като злонамерени, а самият пакет като опит за популяризиране на друг продукт под прикритието на основния проект (описанието на пакета посочва, че това е нова версия на mitmproxy, а не вилица). След премахването на пакета от каталога, на следващия ден нов пакет, mitmproxy-iframe, беше публикуван в PyPI, чието описание също напълно съвпадаше с официалния пакет. Пакетът mitmproxy-iframe също вече е премахнат от директорията на PyPI.

Източник: opennet.ru