Výzkumníci z JFrog objevili v Docker obraze "cabotage-app" token, který poskytoval administrátorský přístup k repozitářům Python, PyPI a Python Software Foundation na GitHubu. Token byl nalezen v binárním souboru "__pycache__/build.cpython-311.pyc" s uloženým zkompilovaným bytecode.
Podle sdělení zástupců repozitáře PyPI byl token vytvořen v roce 2023 pro vývojáře ewdurbin (Ee Durbin), který v organizaci Python Software Foundation zastává post ředitele pro infrastrukturu. Token poskytoval administrátorský přístup ke všem repozitářům a organizacím projektu, včetně všech repozitářů organizací pypi, python, psf a pypa. Problematický Docker obraz s tokenem byl zveřejněn v katalogu Docker Hub 3. března 2023 a odstraněn 11. června 2024, tedy byl 16 měsíců veřejně dostupný. Dne 28. června byl token odvolán.
Zajímavé je, že v dostupných zdrojových kódech, na jejichž základě byl vygenerován problematický soubor s bytecode, není zmínka o tokenu. Autor kódu vysvětlil, že během vývoje nástrojů cabotage-app5 na své místní systémě narazil na omezení intenzity přístupu k API GitHub při provádění funkce automatizovaného stahování souborů z GitHubu, a aby se vyhnul limitům stanoveným pro anonymní přístupy k GitHubu, dočasně přidal svůj pracovní token do kódu. Před zveřejněním napsaného kódu byl token odstraněn, ale vývojář nezohlednil, že zmínka o tokenu byla uložena v předešlém zkompilovaném souboru s bytecode, který se pak dostal do docker obrazu. def _fetch_github_file( — github_repository="owner/repo", ref="main", access_token=None, filename="Dockerfile" + github_repository="owner/repo", + ref="main", + access_token="0d6a9bb5af126f73350a2afc058492765446aaad", + filename="Dockerfile", ):
Provedený audit aktivity na GitHubu ze strany vývojářů Pythonu neodhalil žádné pokusy o neoprávněný přístup pomocí zveřejněného tokenu. S ohledem na to, že GitHub je od roku 2017 primární platformou pro vývoj CPythonu, by se dostání tokenu do nesprávných rukou mohlo vést k úplné kompromitaci infrastruktury používané pro vývoj Pythonu a repozitáře PyPI a k pokusům o integraci backdoorů do CPythonu a balíčkového manažera PyPI.
Incident ukazuje na důležitost analýzy úniků nejen v zdrojovém kódu, konfiguračních souborech a proměnných prostředí, ale také v binárních souborech. V kontextu Pythonu se uživatelům doporučuje věnovat pozornost přítomnosti pyc souborů se zkompilovaným bytovým kódem v nahrávaných projektech, protože tyto soubory mohou obsahovat skryté modifikace, které v zdrojovém kódu chybí.
Zdroj: opennet.ru
