{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46% af Python-pakker i PyPI-repositoriet indeholder potentielt usikker kode","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En gruppe forskere fra University of Turku (Finland) har publiceret resultaterne af en analyse af pakker i PyPI-repositoriet for at unders\u00f8ge brugen af potentielt farlige konstruktioner, der kan f\u00f8re til s\u00e5rbarheder. I l\u00f8bet af analysen af 197.000 pakker blev der identificeret 749.000 potentielle sikkerhedsproblemer. I 46% af pakkerne er der mindst \u00e9t s\u00e5dant problem. Blandt de mest almindelige problemer fremh\u00e6ves mangler i h\u00e5ndteringen af undtagelser og brugen af funktioner, der tillader kodeindskiftning. <\/p>\n
Af de identificerede 749.000 problemer er 442.000 (41%) markeret som ubetydelige, 227.000 (30%) som problemer med moderat risiko og 80.000 (11%) som farlige. Nogle pakker skiller sig ud og indeholder tusindvis af problemer: for eksempel er der identificeret 2.589 problemer i pakken PyGGI, som hovedsageligt vedr\u00f8rer brugen af konstruktionen \u00abtry-except-pass\u00bb, og der er fundet 2.356 problemer i pakken appengine-sdk. Der er ogs\u00e5 et stort antal problemer i pakkerne genie.libs.ops, pbcore og genie.libs.parser. <\/p>\n
Det skal bem\u00e6rkes, at resultaterne er baseret p\u00e5 automatiseret statisk analyse, som ikke tager h\u00f8jde for konteksten af de forskellige konstruktioner. Udvikleren af v\u00e6rkt\u00f8jet bandit, som blev brugt til at scanne koden, udtalte, at p\u00e5 grund af det relativt h\u00f8je antal falske positiver kan resultaterne ikke direkte betragtes som s\u00e5rbarheder uden yderligere manuel revision af hvert problem. <\/p>\n
For eksempel anser analysatoren det som et sikkerhedsproblem at anvende usikre tilf\u00e6ldighedsgeneratorer og hash-algoritmer som MD5, hvorimod s\u00e5danne algoritmer i koden kan anvendes til form\u00e5l, der ikke p\u00e5virker sikkerheden. Analysatoren anser ogs\u00e5 enhver behandling af eksterne data i usikre funktioner som pickle, yaml.load, subprocess og eval som et problem, men denne brug er ikke n\u00f8dvendigvis forbundet med opst\u00e5en af s\u00e5rbarheder, og i praksis kan anvendelsen af disse funktioner implementeres uden sikkerhedstrusler. <\/p>\n
Blandt de kontroller, der blev anvendt i unders\u00f8gelsen: <\/p>\n
\n
Brug af potentielt usikre funktioner som exec, mktemp, eval, mark_safe m.fl.\n
Usikker tildeling af filrettigheder.\n
Tilslutning af en netv\u00e6rkssocket til alle netv\u00e6rksgr\u00e6nseflader.\n
Brug af h\u00e5rdt kodede adgangskoder og n\u00f8gler.\n
Brug af en foruddefineret midlertidig mappe.\n
Brug af pass og continue i catch-all-style undtagelsesh\u00e5ndterere;\n
K\u00f8rsel af webapplikationer baseret p\u00e5 webframeworket Flask med debug-tilstand t\u00e6ndt.\n
Brug af usikre metoder til deserialisering af data.\n
Brug af hash-funktioner som MD2, MD4, MD5 og SHA1.\n
Brug af usikre krypteringsmetoder s\u00e5som DES og krypteringsmodus.\n
Brug af en usikker implementering af HTTPSConnection i nogle versioner af Python.\n
Angivelse af schemaet file:\/\/ i urlopen.\n
Brug af pseudo-tilf\u00e6ldige talgeneratorer ved udf\u00f8relse af kryptografiske opgaver.\n
Brug af protokollen Telnet.\n
Brug af usikre XML-parsere. <\/ul>\n
Derudover kan det n\u00e6vnes, at der blev opdaget 8 skadelige pakker i PyPI kataloget. F\u00f8r de problematiske pakker blev fjernet, var de downloadet mere end 30.000 gange. For at skjule skadelig aktivitet og omg\u00e5 advarsler fra enkle statiske analyser blev kodestykker i pakkerne kodet ved hj\u00e6lp af Base64 og organiseret til udf\u00f8relse efter dekodning via kald til eval. <\/p>\n
I pakkerne noblesse, genesisbot, are, suffer, noblesse2 og noblessev2 blev der fundet kode til opsnapning af kreditkortnumre og adgangskoder gemt i browserne Chrome og Edge, samt til overf\u00f8rsel af tokens fra Discord-appen og sendelse af systemdata, herunder sk\u00e6rmbilleder af sk\u00e6rmindholdet. I pakkerne pytagora og pytagora2 var der mulighed for at downloade og udf\u00f8re tredjeparts eksekverbare filer. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"