🥇 PyPI সংগ্রহস্থলে Python প্যাকেজের 46% সম্ভাব্য অনিরাপদ কোড ধারণ করে

তুর্কু বিশ্ববিদ্যালয়ের (ফিনল্যান্ড) একদল গবেষক সম্ভাব্য বিপজ্জনক নির্মাণের ব্যবহারের জন্য PyPI সংগ্রহস্থলে প্যাকেজগুলির বিশ্লেষণের ফলাফল প্রকাশ করেছেন যা দুর্বলতার দিকে পরিচালিত করতে পারে। 197 হাজার প্যাকেজ বিশ্লেষণের সময়, 749 হাজার সম্ভাব্য নিরাপত্তা সমস্যা চিহ্নিত করা হয়েছে। 46% প্যাকেজের অন্তত একটি সমস্যা আছে। সর্বাধিক সাধারণ সমস্যাগুলির মধ্যে রয়েছে ব্যতিক্রম পরিচালনার সাথে সম্পর্কিত ত্রুটিগুলি এবং বৈশিষ্ট্যগুলির ব্যবহার যা কোড প্রতিস্থাপনের অনুমতি দেয়।

চিহ্নিত 749 হাজার সমস্যার মধ্যে 442 হাজার (41%)কে গৌণ, 227 হাজার (30%) মাঝারি সমস্যা এবং 80 হাজার (11%) বিপজ্জনক হিসাবে চিহ্নিত করা হয়েছে। কিছু প্যাকেজ ভিড় থেকে আলাদা এবং হাজার হাজার সমস্যা ধারণ করে: উদাহরণস্বরূপ, PyGGI প্যাকেজ 2589টি সমস্যা চিহ্নিত করেছে, প্রধানত "ট্রাই-ব্যতীত-পাস" নির্মাণের সাথে সম্পর্কিত, এবং appengine-sdk প্যাকেজে 2356টি সমস্যা পাওয়া গেছে। genie.libs.ops, pbcore এবং genie.libs.parser প্যাকেজেও প্রচুর সমস্যা রয়েছে।

এটি লক্ষ করা উচিত যে ফলাফলগুলি স্বয়ংক্রিয় স্ট্যাটিক বিশ্লেষণের ভিত্তিতে প্রাপ্ত হয়েছিল, যা নির্দিষ্ট কাঠামোর প্রয়োগের প্রেক্ষাপটকে বিবেচনা করে না। দস্যু টুলকিটের বিকাশকারী, যা কোডটি স্ক্যান করতে ব্যবহৃত হয়েছিল, মতামত প্রকাশ করেছে যে মোটামুটি উচ্চ সংখ্যক মিথ্যা ইতিবাচকের কারণে, প্রতিটি সমস্যার অতিরিক্ত ম্যানুয়াল পর্যালোচনা ছাড়া স্ক্যানের ফলাফলগুলিকে সরাসরি দুর্বলতা হিসাবে বিবেচনা করা যায় না।

উদাহরণস্বরূপ, বিশ্লেষক অবিশ্বস্ত র্যান্ডম নম্বর জেনারেটর এবং MD5-এর মতো হ্যাশিং অ্যালগরিদমগুলির ব্যবহারকে একটি নিরাপত্তা সমস্যা হিসাবে বিবেচনা করে, যখন কোডে এই ধরনের অ্যালগরিদমগুলি এমন উদ্দেশ্যে ব্যবহার করা যেতে পারে যা নিরাপত্তাকে প্রভাবিত করে না। বিশ্লেষক আচার, yaml.load, সাবপ্রসেস এবং ইভালের মতো অনিরাপদ ফাংশনে বাহ্যিক ডেটার প্রক্রিয়াকরণকে একটি সমস্যা হিসাবে বিবেচনা করে, তবে এই ব্যবহারটি অগত্যা একটি দুর্বলতা জড়িত নয় এবং প্রকৃতপক্ষে এই ফাংশনগুলির ব্যবহার কোনও নিরাপত্তা হুমকি ছাড়াই প্রয়োগ করা যেতে পারে। .

গবেষণায় ব্যবহৃত পরীক্ষার মধ্যে:

সম্ভাব্য অনিরাপদ ফাংশন exec, mktemp, eval, mark_safe ইত্যাদি ব্যবহার করা।
ফাইলের জন্য অ্যাক্সেস অধিকারের অনিরাপদ সেটিং।
সমস্ত নেটওয়ার্ক ইন্টারফেসে একটি নেটওয়ার্ক সকেট সংযুক্ত করা হচ্ছে।
কোডে কঠোরভাবে উল্লেখ করা পাসওয়ার্ড এবং কীগুলির ব্যবহার।
একটি পূর্বনির্ধারিত অস্থায়ী ডিরেক্টরি ব্যবহার করে।
ক্যাচ-অল-স্টাইল ব্যতিক্রম হ্যান্ডলারগুলিতে পাস এবং চালিয়ে যাওয়া ব্যবহার করা;
ডিবাগিং মোড সক্ষম করে ফ্লাস্ক ওয়েব ফ্রেমওয়ার্কের উপর ভিত্তি করে ওয়েব অ্যাপ্লিকেশন চালু করা।
অনিরাপদ ডেটা ডিসিরিয়ালাইজেশন পদ্ধতি ব্যবহার করা।
MD2, MD4, MD5 এবং SHA1 হ্যাশ ফাংশন ব্যবহার করে।
অনিরাপদ DES সাইফার এবং এনক্রিপশন মোড ব্যবহার।
পাইথনের কিছু সংস্করণে একটি অনিরাপদ HTTPS সংযোগ বাস্তবায়নের ব্যবহার।
urlopen এ ফাইল:// স্কিম নির্দিষ্ট করা হচ্ছে।
ক্রিপ্টোগ্রাফিক কাজ সম্পাদন করার সময় সিউডোর্যান্ডম নম্বর জেনারেটর ব্যবহার করা।
টেলনেট প্রোটোকল ব্যবহার করে।
অনিরাপদ XML পার্সার ব্যবহার করে।

অতিরিক্তভাবে, এটি লক্ষ করা যেতে পারে যে PyPI ডিরেক্টরিতে 8টি দূষিত প্যাকেজ সনাক্ত করা হয়েছে। অপসারণের আগে, সমস্যাযুক্ত প্যাকেজগুলি 30 হাজারেরও বেশি বার ডাউনলোড করা হয়েছিল। প্যাকেজগুলিতে সাধারণ স্ট্যাটিক বিশ্লেষকদের থেকে দূষিত কার্যকলাপ এবং বাইপাস সতর্কতা আড়াল করতে, কোড ব্লকগুলি বেস64 ব্যবহার করে এনকোড করা হয়েছিল এবং একটি ইভাল কল ব্যবহার করে ডিকোড করার পরে কার্যকর করা হয়েছিল।

noblesse, genesisbot, are, suffer, noblesse2 এবং noblesev2 প্যাকেজগুলিতে Chrome এবং Edge ব্রাউজারে সংরক্ষিত ক্রেডিট কার্ড নম্বর এবং পাসওয়ার্ডগুলিকে আটকানোর পাশাপাশি Discord অ্যাপ্লিকেশন থেকে অ্যাকাউন্ট টোকেন স্থানান্তর করা এবং স্ক্রীন সামগ্রীর স্ক্রিনশট সহ সিস্টেম ডেটা পাঠানোর কোড রয়েছে৷ pytagora এবং pytagora2 প্যাকেজগুলির মধ্যে তৃতীয় পক্ষের এক্সিকিউটেবল কোড লোড এবং কার্যকর করার ক্ষমতা অন্তর্ভুক্ত ছিল।

উত্স: opennet.ru

PyPI সংগ্রহস্থলের 46% পাইথন প্যাকেজ সম্ভাব্য অনিরাপদ কোড ধারণ করে

একটি মন্তব্য জুড়ুন উত্তর বাতিল