Die schädlichen Pakete mitmproxy2 und mitmproxy-iframe wurden aus dem PyPI-Katalog entfernt.

Der Autor von mitmproxy, einem Tool zur Analyse von HTTP/HTTPS-Verkehr, hat auf das Auftauchen eines Forks seines Projekts im Python-Paketkatalog PyPI (Python Package Index) hingewiesen. Der Fork wurde unter dem ähnlichen Namen mitmproxy2 und einer nicht existierenden Version 8.0.1 (die aktuelle Version von mitmproxy ist 7.0.4) verbreitet, in der Annahme, dass unaufmerksame Benutzer das Paket als neue Ausgabe des Hauptprojekts (Typo-Squatting) wahrnehmen und die neue Version ausprobieren möchten.

In seiner Zusammensetzung war mitmproxy2 identisch mit mitmproxy, mit Ausnahme der Änderungen zur Implementierung schädlicher Funktionen. Die Änderungen bestanden darin, dass der HTTP-Header „X-Frame-Options: DENY“, der die Verarbeitung von Inhalten innerhalb von iframes verbietet, nicht mehr gesetzt wurde, die Schutzmaßnahmen gegen XSRF-Angriffe deaktiviert wurden und die Header „Access-Control-Allow-Origin: *“, „Access-Control-Allow-Headers: *“ und „Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS“ gesetzt wurden.

Die angegebenen Änderungen beseitigten die Zugriffsbeschränkungen auf die HTTP-API, die zur Verwaltung von mitmproxy über eine Web-Oberfläche verwendet wird. Dies ermöglichte es jedem Angreifer, der sich im selben lokalen Netzwerk befindet, durch das Senden einer HTTP-Anfrage die Ausführung seines Codes auf dem System des Benutzers zu initiieren.

Die Verwaltung des Verzeichnisses stimmte zu, dass die vorgenommenen Änderungen als schädlich interpretiert werden können und das Paket als Versuch betrachtet werden kann, ein anderes Produkt unter dem Deckmantel des Hauptprojekts zu bewerben (in der Paketbeschreibung wurde behauptet, es handele sich um eine neue Version von mitmproxy und nicht um einen Fork). Nachdem das Paket aus dem Verzeichnis entfernt wurde, wurde am nächsten Tag ein neues Paket mit dem Namen mitmproxy-iframe auf PyPI veröffentlicht, dessen Beschreibung ebenfalls vollständig mit dem offiziellen Paket übereinstimmte. Momentan wurde das Paket mitmproxy-iframe ebenfalls aus dem PyPI-Verzeichnis entfernt.

Quelle: opennet.ru