{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"Im PyPI-Repository wurden etwa 5000 vergessene Geheimnisse im Code und 8 b\u00f6sartige Obfuskatoren entdeckt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Forscher von GitGuardian haben die Ergebnisse einer Analyse von vertraulichen Daten ver\u00f6ffentlicht, die von Entwicklern im Code vergessen wurden, der im Python-Paket-Repository PyPI (Python Package Index) ver\u00f6ffentlicht wurde. Nach der Untersuchung von mehr als 9,5 Millionen Dateien und 5 Millionen Paketreleases, die mit 450.000 Projekten verbunden sind, wurden 56.866 F\u00e4lle von Datenlecks festgestellt. Ber\u00fccksichtigt man nur die einzigartigen Daten, ohne Duplikate aus verschiedenen Releases, betr\u00e4gt die Anzahl der festgestellten Lecks 3.938, w\u00e4hrend die Anzahl der Projekte, in denen mindestens ein Leck vorhanden ist, 2.922 betr\u00e4gt. <\/p>\n

Insgesamt wurden \u00fcber 150 Arten von Datenlecks identifiziert, darunter g\u00e4ngige Passw\u00f6rter, kryptografische Schl\u00fcssel sowie Zugangstoken f\u00fcr Cloud-Dienste, Systeme zur kontinuierlichen Integration und APIs. Mindestens 768 Anmeldedaten waren zum Zeitpunkt der Untersuchung noch g\u00fcltig. Als Beispiele f\u00fcr g\u00e4ngige Lecks, die relevant bleiben, werden Zugangsschl\u00fcssel zu Azure Active Directory, Anmeldedaten zu SSH, MongoDB, MySQL und PostgreSQL, Schl\u00fcssel f\u00fcr GitHub OAuth Apps, Dropbox und Auth0 sowie Login-Daten f\u00fcr Coinbase und Twilio genannt. <\/p>\n

Unter den immer beliebter werdenden Leak-Typen werden Tokens f\u00fcr den Zugriff auf Bots in Telegram erw\u00e4hnt, deren Anzahl sich zu Beginn des Jahres 2021 verdoppelt hat und sich dann im Fr\u00fchjahr 2023 erneut verdoppelt hat. Ein st\u00e4ndiges Wachstum der Lecks wird auch seit 2020 f\u00fcr Zugriffsschl\u00fcssel zu Google APIs festgestellt, und seit 2022 f\u00fcr Datenbanken-Zugangsdaten. Unter den Paketen, die in Bezug auf die Anzahl der Lecks an der Spitze stehen, werden die Pakete chatllm und safire erw\u00e4hnt, in denen 209 Schl\u00fcssel zu OpenAI und 320 Schl\u00fcssel zu Google Cloud vergessen wurden. <\/p>\n

Unter den Dateitypen, in denen die meisten Lecks festgestellt wurden, sind neben Dateien mit der Erweiterung .py auch .json (610 Lecks), .md (270), PKG-INFO (240), METADATA (210), .txt (170) und README-Dateien (209) sowie Dateien aus Verzeichnissen mit dem Namen test (675). Viele Lecks h\u00e4ngen auch mit Nachl\u00e4ssigkeit und Fehlern bei der Konfiguration von Ausschlussdateien bei der Paketbildung zusammen. Zum Beispiel k\u00f6nnen lokale Konfigurationsdateien (.cookiecutterrc, .env, .pypirc usw.) \u00fcber die Datei .gitignore von Git-Repositories ausgeschlossen werden, die bei der Paketbildung nicht ber\u00fccksichtigt wird. Insbesondere wurden im Repository 43 .pypirc-Dateien gefunden, die Zugangsdaten f\u00fcr den Zugriff auf PyPI enthalten. In 15 F\u00e4llen von Lecks hatten die Entwickler nicht geplant, Pakete, die urspr\u00fcnglich f\u00fcr den internen Gebrauch erstellt wurden, \u00f6ffentlich bereitzustellen, ver\u00f6ffentlichten diese jedoch f\u00e4lschlicherweise in PyPI. <\/p>\n

Zus\u00e4tzlich k\u00f6nnen zwei weitere Ereignisse im Zusammenhang mit PyPI erw\u00e4hnt werden: <\/p>\n