Packj - পাইথন এবং জাভাস্ক্রিপ্টে ক্ষতিকারক লাইব্রেরি সনাক্ত করার জন্য একটি টুলকিট

প্যাকজে প্ল্যাটফর্মের বিকাশকারীরা, যা লাইব্রেরির নিরাপত্তা বিশ্লেষণ করে, একটি ওপেন কমান্ড লাইন টুলকিট প্রকাশ করেছে যা তাদের প্যাকেজগুলিতে ঝুঁকিপূর্ণ কাঠামো সনাক্ত করতে দেয় যা দূষিত কার্যকলাপ বাস্তবায়ন বা আক্রমণ চালানোর জন্য ব্যবহৃত দুর্বলতার উপস্থিতির সাথে যুক্ত হতে পারে। প্রশ্নযুক্ত প্যাকেজগুলি ব্যবহার করে প্রকল্পগুলিতে ("সাপ্লাই চেইন")। প্যাকেজ চেকিং পাইথন এবং জাভাস্ক্রিপ্ট ভাষায় সমর্থিত, PyPi এবং NPM ডিরেক্টরিতে হোস্ট করা হয়েছে (তারা এই মাসে রুবি এবং রুবিজেমসের জন্য সমর্থন যোগ করার পরিকল্পনা করেছে)। টুলকিট কোডটি পাইথনে লেখা এবং AGPLv3 লাইসেন্সের অধীনে বিতরণ করা হয়েছে।

PyPi সংগ্রহস্থলে প্রস্তাবিত সরঞ্জামগুলি ব্যবহার করে 330 হাজার প্যাকেজ বিশ্লেষণের সময়, পিছনের দরজা সহ 42টি ক্ষতিকারক প্যাকেজ এবং 2.4 হাজার ঝুঁকিপূর্ণ প্যাকেজ সনাক্ত করা হয়েছিল। পরিদর্শনের সময়, API বৈশিষ্ট্যগুলি সনাক্ত করতে এবং OSV ডাটাবেসে উল্লেখিত পরিচিত দুর্বলতার উপস্থিতি মূল্যায়ন করার জন্য একটি স্ট্যাটিক কোড বিশ্লেষণ করা হয়। MalOSS প্যাকেজ API বিশ্লেষণ করতে ব্যবহৃত হয়। প্যাকেজ কোডটি সাধারণত ম্যালওয়্যারে ব্যবহৃত সাধারণ প্যাটার্নের উপস্থিতির জন্য বিশ্লেষণ করা হয়। নিশ্চিত দূষিত কার্যকলাপ সহ 651 প্যাকেটের একটি অধ্যয়নের ভিত্তিতে টেমপ্লেটগুলি প্রস্তুত করা হয়েছিল।

এটি এমন বৈশিষ্ট্য এবং মেটাডেটাও শনাক্ত করে যা অপব্যবহারের ঝুঁকি বাড়ায়, যেমন "eval" বা "exec" এর মাধ্যমে ব্লক চালানো, রানটাইমে নতুন কোড তৈরি করা, অস্পষ্ট কোড কৌশল ব্যবহার করা, পরিবেশের ভেরিয়েবল ম্যানিপুলেট করা, ফাইলগুলিতে অ-টার্গেট অ্যাক্সেস, ইনস্টলেশন স্ক্রিপ্টে নেটওয়ার্ক সংস্থানগুলি অ্যাক্সেস করা (setup.py), typequatting ব্যবহার করে (জনপ্রিয় লাইব্রেরির নামের অনুরূপ নাম বরাদ্দ করা), পুরানো এবং পরিত্যক্ত প্রকল্পগুলি সনাক্ত করা, অস্তিত্বহীন ইমেল এবং ওয়েবসাইটগুলি নির্দিষ্ট করা, কোড সহ একটি পাবলিক রিপোজিটরির অভাব।

উপরন্তু, আমরা PyPi সংগ্রহস্থলে পাঁচটি দূষিত প্যাকেজের অন্যান্য নিরাপত্তা গবেষকদের দ্বারা শনাক্তকরণ নোট করতে পারি, যা AWS এবং ক্রমাগত ইন্টিগ্রেশন সিস্টেমের জন্য টোকেন চুরি করার প্রত্যাশায় পরিবেশের ভেরিয়েবলের বিষয়বস্তু একটি বাহ্যিক সার্ভারে পাঠিয়েছিল: লগলিব-মডিউল (উপস্থাপিত হিসাবে বৈধ লগলিব লাইব্রেরির জন্য মডিউল), pyg-মডিউল, pygrata এবং pygrata-utils (বৈধ পিগ লাইব্রেরিতে সংযোজন হিসাবে চিহ্নিত) এবং hkg-sol-utils।

উত্স: opennet.ru