Durchgesickertes Token für vollständigen Zugriff auf die GitHub-Repositories des Python-Projekts

Forscher von JFrog haben ein im Docker-Image „cabotage-app“ enthaltenes Token entdeckt, das administrativen Zugriff auf die Repositorys Python, PyPI und Python Software Foundation auf GitHub ermöglicht. Das Token wurde in der Binärdatei „__pycache__/build.cpython-311.pyc“ gefunden, wobei der kompilierte Bytecode zwischengespeichert wurde.

Nach Angaben von Vertretern des PyPI-Repositorys wurde der Token im Jahr 2023 für den Entwickler ewdurbin (Ee Durbin) erstellt, der den Posten des Infrastrukturdirektors bei der Python Software Foundation innehat. Der Token ermöglichte administrativen Zugriff auf alle Repositories und Organisationen des Projekts, einschließlich aller Repositories der Organisationen Pypi, Python, PSF und Pypa. Das problematische Docker-Image mit dem Token wurde am 2023. März 11 im Docker Hub-Verzeichnis veröffentlicht und am 2024. Juni 16, also gelöscht. 28 Monate im öffentlichen Bereich. Am XNUMX. Juni wurde der Token widerrufen.

Bemerkenswert ist, dass in den verfügbaren Quelltexten, auf deren Grundlage die problematische Bytecode-Datei erstellt wurde, der Token nicht erwähnt wird. Der Autor des Codes erklärte, dass er bei der Entwicklung des Cabotage-App5-Toolkits auf seinem lokalen System auf Einschränkungen hinsichtlich der Intensität des Zugriffs auf die GitHub-API stieß, wenn er die Funktion des automatischen Herunterladens von Dateien von GitHub ausführte und umging Als er die Beschränkungen für anonyme Aufrufe von GitHub überschritt, fügte er vorübergehend sein Arbeitstoken in den Code ein. Vor der Veröffentlichung des geschriebenen Codes wurde das Token gelöscht, der Entwickler berücksichtigte jedoch nicht, dass die Erwähnung des Tokens in einer vorkompilierten Datei mit Bytecode zwischengespeichert wurde, die dann im Docker-Image landete. def _fetch_github_file( — github_repository=“owner/repo“, ref=“main“, access_token=None, filename=“Dockerfile“ + github_repository=“owner/repo“, + ref=“main“, + access_token=“0d6a9bb5af126f73350a2afc058492765446aaad“, + filename=“Dockerfile“, ):

Eine von Python-Entwicklern durchgeführte Prüfung der Aktivität in Repositories auf GitHub ergab keine Zugriffsversuche Dritter unter Verwendung des offengelegten Tokens. Angesichts der Tatsache, dass GitHub seit 2017 die primäre Plattform für die CPython-Entwicklung ist, könnte es zu einer vollständigen Kompromittierung der für die Python-Entwicklung verwendeten Infrastruktur und des PyPI-Repositorys führen, wenn der Token in die Hände eines Angreifers gerät, und es besteht die Möglichkeit, dies zu versuchen Integrieren Sie Hintertüren in CPython und den PyPI-Paketmanager.

Der Vorfall zeigt, wie wichtig es ist, Lecks nicht nur im Quellcode, in Konfigurationsdateien und Umgebungsvariablen, sondern auch in Binärdateien zu analysieren. Im Zusammenhang mit Python wird Benutzern außerdem empfohlen, auf das Vorhandensein von Pyc-Dateien mit kompiliertem Bytecode in den heruntergeladenen Projekten zu achten, da diese Dateien möglicherweise versteckte Änderungen enthalten, die im Quellcode nicht vorhanden sind.

Source: opennet.ru