Der Autor von mitmproxy, einem Tool zur Analyse von HTTP/HTTPS-Traffic, hat auf das Auftauchen eines Forks seines Projekts im Verzeichnis der Python-Pakete PyPI (Python Package Index) hingewiesen. Der Fork wurde unter dem Àhnlichen Namen mitmproxy2 und einer nicht existierenden Version 8.0.1 (die aktuelle Version von mitmproxy ist 7.0.4) verbreitet, in der Hoffnung, dass unaufmerksame Nutzer das Paket als neue Ausgabe des Hauptprojekts (Typ-Scouting) betrachten und die neue Version ausprobieren wollen.
In seiner Zusammensetzung war mitmproxy2 mit mitmproxy Ă€hnlich, abgesehen von den Ănderungen, die eine böswillige FunktionalitĂ€t implementierten. Die Ănderungen bestanden darin, dass der HTTP-Header âX-Frame-Options: DENYâ, der die Verarbeitung von Inhalten innerhalb von iframes verbietet, nicht mehr gesetzt wurde, der Schutz vor XSRF-Angriffen deaktiviert wurde und die Header âAccess-Control-Allow-Origin: *â, âAccess-Control-Allow-Headers: *â und âAccess-Control-Allow-Methods: POST, GET, DELETE, OPTIONSâ gesetzt wurden.
Die genannten Ănderungen hob die ZugangsbeschrĂ€nkungen zur HTTP-API auf, die zur Verwaltung von mitmproxy ĂŒber die Web-OberflĂ€che verwendet wird. Dies ermöglichte es jedem Angreifer, der sich im selben lokalen Netzwerk befindet, durch das Senden einer HTTP-Anfrage, eigenen Code auf dem System des Nutzers auszufĂŒhren.
Die Verwaltung des Verzeichnisses stimmte zu, dass die vorgenommenen Ănderungen als böswillig interpretiert werden können und das Paket selbst als Versuch angesehen wird, ein anderes Produkt unter dem Deckmantel des Hauptprojekts zu bewerben (in der Paketbeschreibung wurde behauptet, es handele sich um eine neue Version von mitmproxy und nicht um einen Fork). Nach der Löschung des Pakets aus dem Verzeichnis wurde am folgenden Tag ein neues Paket mitmproxy-iframe auf PyPI veröffentlicht, dessen Beschreibung ebenfalls vollstĂ€ndig mit dem offiziellen Paket ĂŒbereinstimmte. Derzeit wurde das Paket mitmproxy-iframe ebenfalls aus dem Verzeichnis PyPI entfernt.
Quelle: opennet.ru
