{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46 % der Python-Pakete im PyPI-Repository enthalten potenziell unsicheren Code","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Eine Forschergruppe der Universit\u00e4t Turku (Finnland) hat die Ergebnisse ihrer Analyse von Paketen im PyPI-Repository hinsichtlich der Verwendung potenziell gef\u00e4hrlicher Konstruktionen ver\u00f6ffentlicht, die zu Schwachstellen f\u00fchren k\u00f6nnen. Bei der Analyse von 197.000 Paketen wurden 749.000 potenzielle Sicherheitsprobleme identifiziert. In 46 % der Pakete gibt es mindestens ein solches Problem. Zu den am h\u00e4ufigsten vorkommenden Problemen geh\u00f6ren M\u00e4ngel in der Verarbeitung von Ausnahmen und der Einsatz von Konstruktionen, die Code-Einsch\u00fcbe zulassen. <\/p>\n
Es sollte angemerkt werden, dass die Ergebnisse auf der Grundlage einer automatisierten statischen Analyse erhalten wurden, die den Kontext der Anwendung bestimmter Konstruktionen nicht ber\u00fccksichtigt. Der Entwickler des Tools Bandit, das zur Durchsuchung des Codes verwendet wurde, \u00e4u\u00dferte die Meinung, dass aufgrund der vergleichsweise hohen Anzahl an Fehlalarmen die Ergebnisse des Pr\u00fcfungsverfahrens nicht direkt als Schwachstellen betrachtet werden k\u00f6nnen, ohne jede einzelne Problemstellung zus\u00e4tzlich manuell zu \u00fcberpr\u00fcfen. <\/p>\n
Der Analyzer betrachtet die Verwendung unzuverl\u00e4ssiger Zufallszahlengeneratoren und Hash-Algorithmen wie MD5 als Sicherheitsproblem, w\u00e4hrend solche Algorithmen im Code f\u00fcr Zwecke verwendet werden k\u00f6nnen, die die Sicherheit nicht beeinflussen. Der Analyzer betrachtet ebenfalls die Verarbeitung externer Daten in unsicheren Funktionen wie pickle, yaml.load, subprocess und eval als Problem, jedoch ist diese Verwendung nicht zwingend mit der Entstehung von Schwachstellen verbunden, und in der Praxis kann der Einsatz der genannten Funktionen ohne Sicherheitsbedrohung umgesetzt werden. <\/p>\n
Zu den in der Studie verwendeten Pr\u00fcfungen geh\u00f6ren: <\/p>\n
\n
Verwendung potenziell unsicherer Funktionen wie exec, mktemp, eval, mark_safe usw.\n
Unsichere Festlegung von Zugriffsrechten f\u00fcr Dateien.\n
Anschluss eines Netzwerk-Sockets an alle Netzwerkschnittstellen.\n
Verwendung von fest im Code angegebenen Passw\u00f6rtern und Schl\u00fcsseln.\n
Verwendung eines vordefinierten tempor\u00e4ren Verzeichnisses.\n
Verwendung von pass und continue in Catch-All-Style-Fehlerbehandlungsfunktionen.\n
Ausf\u00fchrung von Web-Anwendungen auf Basis des Web-Frameworks Flask mit aktiviertem Debugging-Modus.\n
Verwendung unsicherer Methoden zur Deserialisierung von Daten.\n
Verwendung der Hash-Funktionen MD2, MD4, MD5 und SHA1.\n
Verwendung unsicherer Verschl\u00fcsselungsmethoden wie DES und unsicherer Verschl\u00fcsselungsmodi.\n
Verwendung einer unsicheren Implementierung von HTTPSConnection in bestimmten Python-Versionen.\n
Angabe des Schemas file:\/\/ in urlopen.\n
Verwendung von Zufallszahlengeneratoren bei der Durchf\u00fchrung kryptografischer Aufgaben.\n
Verwendung des Telnet-Protokolls.\n
Verwendung unsicherer XML-Parser. <\/ul>\n
Zus\u00e4tzlich kann festgestellt werden, dass im Verzeichnis PyPI 8 b\u00f6sartige Pakete entdeckt wurden. Vor der Entfernung wurden die problematischen Pakete mehr als 30.000 Mal heruntergeladen. Um b\u00f6sartige Aktivit\u00e4ten zu verbergen und Warnungen einfacher statischer Analysatoren zu umgehen, wurde in den Paketen eine Kodierung von Codebl\u00f6cken mit Base64 und eine Ausf\u00fchrung nach der Dekodierung \u00fcber einen eval-Aufruf verwendet. <\/p>\n
In den Paketen noblesse, genesisbot, are, suffer, noblesse2 und noblessev2 wurde Code gefunden, der zur Abgreifung von Kreditkartennummern und Passw\u00f6rtern, die in den Browsern Chrome und Edge gespeichert sind, sowie zur \u00dcbertragung von Token aus Anwendungen wie Discord dient und Systemdaten, einschlie\u00dflich Screenshots des Bildschirminhalts, \u00fcbertr\u00e4gt. In den Paketen pytagora und pytagora2 gab es die M\u00f6glichkeit, externen ausf\u00fchrbaren Code herunterzuladen und auszuf\u00fchren. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"