{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"Im PyPI-Repository wurden etwa 5000 vergessene Geheimnisse im Code und 8 b\u00f6sartige Obfuskatoren entdeckt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Forscher von GitGuardian haben die Ergebnisse ihrer Analyse vertraulicher Daten ver\u00f6ffentlicht, die von Entwicklern im Code gespeichert wurden, der im Python-Paket-Repository PyPI (Python Package Index) abgelegt ist. Nach der Untersuchung von mehr als 9,5 Millionen Dateien und 5 Millionen Paketversionen, die mit 450.000 Projekten verbunden sind, wurden 56.866 F\u00e4lle von Datenleckagen festgestellt. Bei Betrachtung der einzigartigen Daten ohne Duplikate in verschiedenen Versionen belief sich die Anzahl der identifizierten Lecks auf 3.938, w\u00e4hrend die Zahl der Projekte, in denen mindestens ein Leak vorhanden ist, 2.922 betrug. <\/p>\n

Insgesamt wurden \u00fcber 150 Arten von Lecks vertraulicher Informationen identifiziert, darunter gew\u00f6hnliche Passw\u00f6rter, kryptografische Schl\u00fcssel, Tokens f\u00fcr Cloud-Dienste, kontinuierliche Integrationssysteme und APIs. Mindestens 768 Anmeldedaten waren zum Zeitpunkt der Studie noch g\u00fcltig. Als Beispiele f\u00fcr h\u00e4ufige, weiterhin relevante Lecks werden Schl\u00fcssel f\u00fcr Azure Active Directory, Anmeldedaten f\u00fcr SSH, MongoDB, MySQL und PostgreSQL, Schl\u00fcssel f\u00fcr GitHub OAuth App, Dropbox und Auth0 sowie Anmeldeinformationen f\u00fcr Coinbase und Twilio genannt. <\/p>\n

Unter den immer h\u00e4ufigeren Lecktypen werden Tokens f\u00fcr den Zugang zu Bots in Telegram erw\u00e4hnt, deren Anzahl sich Anfang 2021 verdoppelt hat und dann im Fr\u00fchling 2023 erneut verdoppelt wurde. Auch ein stetiger Anstieg der Leaks f\u00fcr Google API-Zugangsschl\u00fcssel wird seit 2020 verzeichnet, w\u00e4hrend seit 2022 auch Anmeldedaten f\u00fcr Datenbanken betroffen sind. Zu den Paketen, die hinsichtlich der Anzahl der Lecks f\u00fchren, z\u00e4hlen chatllm und safire, in denen 209 Schl\u00fcssel zu OpenAI und 320 Schl\u00fcssel zu Google Cloud vergessen wurden. <\/p>\n

Neben Dateien mit der Erweiterung '.py' weisen auch Dateien mit der Erweiterung .json (610 Leaks), .md (270), PKG-INFO (240), METADATA (210), .txt (170) sowie README-Dateien (209) und Dateien aus Verzeichnissen mit dem Namen test (675) die meisten Lecks auf. Viele Lecks sind auch auf Nachl\u00e4ssigkeiten und Fehler bei der Konfiguration des Ausschlusses von Dateien bei der Paketbildung zur\u00fcckzuf\u00fchren. Beispielsweise k\u00f6nnen lokale Konfigurationsdateien (.cookiecutterrc, .env, .pypirc usw.) \u00fcber die Datei '.gitignore' aus dem Git-Repository ausgeschlossen werden, die bei der Erstellung des Pakets nicht ber\u00fccksichtigt wird. Insbesondere wurden im Repository 43 .pypirc-Dateien gefunden, die Zugangsdaten f\u00fcr den Zugriff auf PyPI enthielten. In 15 F\u00e4llen planten die Entwickler nicht, Pakete \u00f6ffentlich zu ver\u00f6ffentlichen, die urspr\u00fcnglich f\u00fcr den internen Gebrauch erstellt wurden, ver\u00f6ffentlichten sie jedoch versehentlich in PyPI. <\/p>\n

Zus\u00e4tzlich k\u00f6nnen zwei weitere Ereignisse im Zusammenhang mit PyPI erw\u00e4hnt werden: <\/p>\n