Изтичане на токен за пълен достъп до GitHub репозиторите на проекта Python

Изследователи от компанията JFrog откриха в състава на Docker-образа «cabotage-app» токен, който предоставя достъп с права на администратор до репозиториите на Python, PyPI и Python Software Foundation в GitHub. Токенът беше намерен в бинарен файл «__pycache__/build.cpython-311.pyc» с кеширан скомпилиран байткод.

Според информация от представителите на репозитория PyPI, токенът е създаден през 2023 година за разработчика ewdurbin (Ee Durbin), който заема поста директор по инфраструктурата в организацията Python Software Foundation. Токенът предоставяше достъп с права на администратор до всички репозитории и организации на проекта, включително всички репозитории на организациите pypi, python, psf и pypa. Проблемният Docker-образ с токена беше публикуван в каталога на Docker Hub на 3 март 2023 година, а изтрит на 11 юни 2024 година, т.е. 16 месеца беше на достъп. На 28 юни токенът беше отзован.

Забележително е, че в наличните изходни кодове, на базата на които беше генериран проблемният файл с байткод, споменаването на токена отсъства. Авторът на кода поясни, че в процеса на разработка на инструмента cabotage-app5 на локалната си система се сблъскал с ограничения по интензивността на достъпа до API на GitHub при извършване на функцията за автоматизирано записване на файлове от GitHub, и за да заобиколи лимитите, наложени за анонимни обаждания до GitHub, временно добавил своя работен токен в кода. Преди публикуването на написания код токенът е бил премахнат, но разработчикът не е взел предвид, че споменаването на токена е кеширано в предварително компилирания файл с байткод, който след това е попаднал в docker-образа. def _fetch_github_file( — github_repository="owner/repo", ref="main", access_token=None, filename="Dockerfile" + github_repository="owner/repo", + ref="main", + access_token="0d6a9bb5af126f73350a2afc058492765446aaad", + filename="Dockerfile", ):

Проведеният от разработчиците на Python одит на активността в репозиториите на GitHub не е установил чужди опити за достъп с използване на разкрития токен. С оглед на факта, че от 2017 година GitHub е основната платформа за разработка на CPython, попадането на токена в ръцете на злонамерените лица би могло да доведе до пълна компрометация на инфраструктурата, използвана за разработка на Python и репозитория PyPI, както и до възможности за извършване на опити за интеграция на бекдупи в CPython и пакетния мениджър PyPI.

Инцидентът показва важността на анализа на течовете не само в изходния код, конфигурационните файлове и променливите на средата, но и в бинарните файлове. В контекста на Python, потребителите също така получават препоръка да обръщат внимание на наличието на .pyc файлове със скомпилиран байткод в изтеглените проекти, тъй като тези файлове могат да съдържат скрити модификации, които липсват в изходния код.

Източник: opennet.ru