{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46 % der Python-Pakete im PyPI-Repository enthalten potenziell unsicheren Code","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine Gruppe von Forschern der Universit\u00e4t Turku (Finnland) hat die Ergebnisse einer Analyse von Paketen im PyPI-Repository ver\u00f6ffentlicht, um potenziell gef\u00e4hrliche Konstruktionen zu identifizieren, die zu Schwachstellen f\u00fchren k\u00f6nnten. Bei der Analyse von 197.000 Paketen wurden 749.000 potenzielle Sicherheitsprobleme entdeckt. In 46 % der Pakete ist mindestens ein solches Problem vorhanden. Zu den h\u00e4ufigsten festgestellten Problemen geh\u00f6ren M\u00e4ngel im Umgang mit Ausnahmen und die Nutzung von Funktionen, die Code-Injection erm\u00f6glichen. <\/p>\n
Von den identifizierten 749.000 Problemen wurden 442.000 (41 %) als unwesentlich, 227.000 (30 %) als Probleme mittlerer Gef\u00e4hrlichkeit und 80.000 (11 %) als gef\u00e4hrlich eingestuft. Einige Pakete stechen heraus und enthalten Tausende von Problemen: Zum Beispiel wurden im Paket PyGGI 2.589 Probleme festgestellt, \u00fcberwiegend im Zusammenhang mit der Verwendung der Konstruktion \u201etry-except-pass\u201c. Im Paket appengine-sdk wurden 2.356 Probleme gefunden. Auch in den Paketen genie.libs.ops, pbcore und genie.libs.parser gibt es eine gro\u00dfe Anzahl von Problemen. <\/p>\n
Es ist zu beachten, dass die Ergebnisse auf der Durchf\u00fchrung einer automatisierten statischen Analyse basieren, die den Anwendungskontext bestimmter Konstrukte nicht ber\u00fccksichtigt. Der Entwickler des Tools bandit, das zum Scannen des Codes verwendet wurde, \u00e4u\u00dferte die Meinung, dass aufgrund der relativ hohen Zahl an Fehlalarmen die Ergebnisse der Pr\u00fcfung nicht direkt als Sicherheitsanf\u00e4lligkeiten betrachtet werden k\u00f6nnen, ohne dass eine zus\u00e4tzliche manuelle \u00dcberpr\u00fcfung jedes Problems erfolgt. <\/p>\n
Zum Beispiel betrachtet der Analyzer die Verwendung unsicherer Zufallszahlengeneratoren und Hashing-Algorithmen wie MD5 als Sicherheitsproblem, obwohl solche Algorithmen im Code m\u00f6glicherweise f\u00fcr Zwecke eingesetzt werden, die nicht die Sicherheit beeintr\u00e4chtigen. Der Analyzer stuft auch jede Verarbeitung externer Daten in unsicheren Funktionen wie pickle, yaml.load, subprocess und eval als problematisch ein, jedoch ist der Einsatz dieser Funktionen nicht unbedingt mit dem Auftreten von Schwachstellen verbunden, und in der Praxis kann deren Verwendung ohne Sicherheitsrisiken erfolgen. <\/p>\n
Unter den Pr\u00fcfungen, die in der Untersuchung verwendet wurden: <\/p>\n
\n
Verwendung potenziell unsicherer Funktionen wie exec, mktemp, eval, mark_safe usw.\n
Unsichere Datei-Berechtigungen.\n
Verbindung eines Netzwerk-Sockets mit allen Netzwerk-Interfaces.\n
Verwendung von im Code festgelegten Passw\u00f6rtern und Schl\u00fcsseln.\n
Verwendung eines vordefinierten tempor\u00e4ren Verzeichnisses.\n
Verwendung von pass und continue in allgemeinen Ausnahmebehandlern.\n
Betrieb von Webanwendungen auf Basis des Flask-Webframeworks im Debug-Modus.\n
Verwendung unsicherer Methoden zur Deserialisierung von Daten.\n
Verwendung der Hash-Funktionen MD2, MD4, MD5 und SHA1.\n
Verwendung unsicherer Verschl\u00fcsselungsalgorithmen wie DES und unsicherer Betriebsmodi.\n
Verwendung unsicherer Implementierungen von HTTPSConnection in bestimmten Python-Versionen.\n
Angabe des Schemas file:\/\/ in urlopen.\n
Verwendung von Pseudozufallszahlengeneratoren bei kryptographischen Aufgaben.\n
Verwendung des Telnet-Protokolls.\n
Verwendung unsicherer XML-Parser. <\/ul>\n
Zus\u00e4tzlich kann festgestellt werden, dass im PyPI-Katalog acht b\u00f6sartige Pakete entdeckt wurden. Vor der L\u00f6schung hatten die problematischen Pakete \u00fcber 30.000 Downloads erreicht. Um b\u00f6sartige Aktivit\u00e4ten zu verbergen und Warnungen einfacher statischer Analysatoren zu umgehen, wurde in den Paketen eine Kodierung von Codebl\u00f6cken mithilfe von Base64 angewendet, gefolgt von der Ausf\u00fchrung nach der Dekodierung \u00fcber den Aufruf von eval. <\/p>\n
In den Paketen noblesse, genesisbot, are, suffer, noblesse2 und noblessev2 wurde Code gefunden, der dazu dient, Kreditkartennummern und Passw\u00f6rter, die in den Browsern Chrome und Edge gespeichert sind, abzufangen sowie Token von Benutzerkonten aus der Discord-App zu \u00fcbertragen und Systemdaten, einschlie\u00dflich Screenshots des Bildschirminhalts, zu senden. In den Paketen pytagora und pytagora2 bestand die M\u00f6glichkeit, externe ausf\u00fchrbare Codes herunterzuladen und auszuf\u00fchren. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"