{"id":117354,"date":"2024-07-12T09:43:01","date_gmt":"2024-07-12T07:43:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python"},"modified":"2024-07-12T09:43:01","modified_gmt":"2024-07-12T07:43:01","slug":"utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","title":{"rendered":"Token-Leck f\u00fcr vollst\u00e4ndigen Zugriff auf die GitHub-Repositories des Python-Projekts","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forscher von JFrog haben in einem Docker-Image namens 'cabotage-app' ein Token entdeckt, das Zugang mit Administratorrechten zu den Repositories von Python, PyPI und der Python Software Foundation auf GitHub gew\u00e4hrt. Das Token wurde in einer Bin\u00e4rdatei '__pycache__\/build.cpython-311.pyc' mit dem zwischengespeicherten kompilierten Bytecode gefunden.
<\/center> <\/p>\n
Laut Angaben der Vertreter des PyPI-Repositorys wurde das Token im Jahr 2023 f\u00fcr den Entwickler ewdurbin (Ee Durbin) erstellt, der in der Organisation Python Software Foundation die Position des Direktors f\u00fcr Infrastruktur innehat. Das Token gew\u00e4hrte Administratorzugang zu allen Repositories und Organisationen des Projekts, einschlie\u00dflich aller Repositories der Organisationen pypi, python, psf und pypa. Das problematische Docker-Image mit dem Token wurde am 3. M\u00e4rz 2023 im Docker Hub ver\u00f6ffentlicht und am 11. Juni 2024 entfernt, also 16 Monate lang \u00f6ffentlich zug\u00e4nglich. Am 28. Juni wurde das Token zur\u00fcckgezogen. <\/p>\n
Bemerkenswert ist, dass in den verf\u00fcgbaren Quelltexten, auf deren Basis die problematische Bytecode-Datei generiert wurde, kein Hinweis auf das Token zu finden ist. Der Autor des Codes erkl\u00e4rte, dass er w\u00e4hrend der Entwicklung des Tools cabotage-app5 auf seinem lokalen System auf Beschr\u00e4nkungen der Zugriffsh\u00e4ufigkeit auf die GitHub-API gesto\u00dfen ist, als er versuchte, eine automatisierte Datei-Upload-Funktion von GitHub auszuf\u00fchren. Um die f\u00fcr anonyme Anfragen an GitHub festgelegten Grenzen zu umgehen, f\u00fcgte er vor\u00fcbergehend sein Arbeits-Token in den Code ein. Vor der Ver\u00f6ffentlichung des Codes wurde das Token entfernt, jedoch ber\u00fccksichtigte der Entwickler nicht, dass das Token im vorab kompilierten Bytecode, der dann in das Docker-Image gelangte, zwischengespeichert war. def _fetch_github_file( \u2014 github_repository='owner\/repo', ref='main', access_token=None, filename='Dockerfile' + github_repository='owner\/repo', + ref='main', + access_token='0d6a9bb5af126f73350a2afc058492765446aaad', + filename='Dockerfile', ): <\/p>\n
Die von den Python-Entwicklern durchgef\u00fchrte \u00dcberpr\u00fcfung der Aktivit\u00e4t in Repositories auf GitHub hat keine externen Zugriffsversuche mit dem offengelegten Token festgestellt. Angesichts der Tatsache, dass GitHub seit 2017 die prim\u00e4re Plattform f\u00fcr die Entwicklung von CPython ist, h\u00e4tte der Zugang des Tokens durch einen Angreifer zur vollst\u00e4ndigen Kompromittierung der Infrastruktur f\u00fchren k\u00f6nnen, die f\u00fcr die Entwicklung von Python und dem PyPI-Repository verwendet wird, sowie zu Integrationsversuchen von Backdoors in CPython und den Paketmanager PyPI. <\/p>\n
Der Vorfall zeigt die Bedeutung der Analyse von Leaks nicht nur im Quellcode, in Konfigurationsdateien und Umgebungsvariablen, sondern auch in Bin\u00e4rdateien. Im Kontext von Python wird den Nutzern auch geraten, auf das Vorhandensein von pyc-Dateien mit kompiliertem Bytecode in heruntergeladenen Projekten zu achten, da diese Dateien versteckte Modifikationen enthalten k\u00f6nnen, die im Quellcode fehlen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Token-Leck](\"\/wp-content\/uploads\/2024\/07\/995cd4986ccb553d612c78345dfec4ad.png\")
<\/center> <\/p>\n