Autor mitmproxy, nástroje pro analýzu HTTP/HTTPS, si všiml, že se v katalogu Python balíčků PyPI (Python Package Index) objevil fork jeho projektu. Fork byl distribuován pod podobným jménem mitmproxy2 a neexistující verzí 8.0.1 (aktuální vydání mitmproxy 7.0.4) s tím, že nepozorní uživatelé si balíček vyloží jako novou edici hlavního projektu (typová manipulace) a budou chtít vyzkoušet novou verzi.
Podle svého složení byl mitmproxy2 obdobný mitmproxy, s výjimkou změn zavádějících škodlivou funkčnost. Změny spočívaly v zrušení vystavování HTTP hlavičky „X-Frame-Options: DENY“, která zakazovala zpracování obsahu uvnitř iframe, vypnutí ochrany proti XSRF útokům a vystavování hlaviček „Access-Control-Allow-Origin: *“, „Access-Control-Allow-Headers: *“ a „Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS“.
Uvedené změny odstranily omezení přístupu k HTTP API, které se používá pro správu mitmproxy přes webové rozhraní, což umožnilo jakémukoli útočníkovi, nacházejícímu se ve stejné místní síti, organizovat vykonávání svého kódu na systému uživatele prostřednictvím zasílání HTTP požadavků.
Správa katalogu souhlasila s tím, že provedené změny mohou být chápány jako škodlivé, a samotný balíček jako pokus o propagaci jiného produktu pod záminkou hlavního projektu (v popisu balíčku bylo uvedeno, že se jedná o novou verzi mitmproxy, nikoli fork). Po odstranění balíčku z katalogu byl následující den v PyPI umístěn nový balíček mitmproxy-iframe, jehož popis se také zcela shodoval s oficiálním balíčkem. V současnosti byl balíček mitmproxy-iframe také odstraněn z katalogu PyPI.
Zdroj: opennet.ru
