{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"I repository PyPI har der v\u00e6ret omkring 5000 hemmeligheder tilbageholdt i koden og 8 ondsindede obfuskatorer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forskere fra GitGuardian har offentliggjort resultaterne af en analyse af fortrolige data, glemte af udviklere i kode placeret i Python-pakkerepositoriet PyPI (Python Package Index). Efter at have unders\u00f8gt mere end 9,5 millioner filer og 5 millioner pakkereliser, relateret til 450.000 projekter, blev der identificeret 56.866 tilf\u00e6lde af l\u00e6kage af fortrolige data. Hvis man kun t\u00e6ller unikke data, uden duplication i forskellige versioner, var antallet af identificerede l\u00e6kager 3.938, og antallet af projekter, hvor der er mindst \u00e9n l\u00e6kage - 2.922. <\/p>\n

I alt er der identificeret over 150 typer l\u00e6kager af fortrolige oplysninger, herunder almindelige adgangskoder, kryptografiske n\u00f8gler, tokens til adgang til cloud-tjenester, systemer til kontinuerlig integration og API'er. Mindst 768 legitimationsoplysninger forblev aktive p\u00e5 tidspunktet for unders\u00f8gelsen. Som eksempler p\u00e5 popul\u00e6re, relevante l\u00e6kager n\u00e6vnes adgangsn\u00f8gler til Azure Active Directory, legitimationsoplysninger til SSH, MongoDB, MySQL og PostgreSQL, n\u00f8gler til GitHub OAuth App, Dropbox og Auth0, samt loginoplysninger til Coinbase og Twilio. <\/p>\n

Blandt de stigende typer af l\u00e6kager n\u00e6vnes tokens til adgang til bots i Telegram, hvis antal blev fordoblet i begyndelsen af 2021 og derefter fordoblet igen i for\u00e5ret 2023. Der er ogs\u00e5 en konstant stigning i l\u00e6kager fra 2020 for adgangsn\u00f8gler til Google API, og siden 2022 for legitimationsoplysninger til databaser. Blandt de pakker, der f\u00f8rer an i antal l\u00e6kager, n\u00e6vnes pakkerne chatllm og safire, i hvilke der blev glemt 209 n\u00f8gler til OpenAI og 320 n\u00f8gler til Google Cloud. <\/p>\n

Blandt filtyperne, hvor der blev identificeret det h\u00f8jeste antal l\u00e6kager, med undtagelse af filer med endelsen .py, er der filer med endelsen .json (610 l\u00e6kager), .md (270), PKG-INFO (240), METADATA (210), .txt (170), samt README-filer (209) og filer fra mapper med navnet test (675). Mange l\u00e6kager er ogs\u00e5 relateret til fors\u00f8mmelse og fejl i ops\u00e6tningen af undtagelse af filer ved pakkeopbygning. For eksempel kan filer med lokale konfigurationsfiler (.cookiecutterrc, .env, .pypirc osv.) udelukkes fra Git-repositoriet via en .gitignore-fil, som ikke tages i betragtning ved pakkeoprettelse. Is\u00e6r blev der fundet 43 .pypirc-filer i repositoriet, der indeholdt legitimationsoplysninger til adgang til PyPI. I 15 tilf\u00e6lde af l\u00e6kager planlagde udviklerne ikke at offentligg\u00f8re pakker, der oprindeligt var oprettet til intern brug, men offentliggjorde dem p\u00e5 PyPI ved en fejl. <\/p>\n

Der kan ogs\u00e5 n\u00e6vnes to yderligere h\u00e6ndelser relateret til PyPI: <\/p>\n