{"id":117354,"date":"2024-07-12T09:43:01","date_gmt":"2024-07-12T07:43:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python"},"modified":"2024-07-12T09:43:01","modified_gmt":"2024-07-12T07:43:01","slug":"utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","title":{"rendered":"Token-Leck f\u00fcr den vollst\u00e4ndigen Zugriff auf die GitHub-Repositories des Python-Projekts","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forscher von JFrog haben in einem Docker-Image namens «cabotage-app» ein Token entdeckt, das Administratorzugang zu den Repositories von Python, PyPI und der Python Software Foundation auf GitHub gew\u00e4hrt. Das Token wurde in der Bin\u00e4rdatei «__pycache__\/build.cpython-311.pyc» gefunden, die den zwischengespeicherten kompilierten Bytecode enth\u00e4lt.
<\/center> <\/p>\n
Laut Angaben von Vertretern des PyPI-Repositorys wurde das Token 2023 f\u00fcr den Entwickler ewdurbin (Ee Durbin) erstellt, der in der Organisation Python Software Foundation die Position des Direktors f\u00fcr Infrastruktur innehat. Das Token gew\u00e4hrte Administratorzugang zu allen Repositories und Organisationen des Projekts, einschlie\u00dflich aller Repositories der Organisationen pypi, python, psf und pypa. Das problematische Docker-Image mit dem Token wurde am 3. M\u00e4rz 2023 im Docker Hub ver\u00f6ffentlicht und am 11. Juni 2024 entfernt, d.h. es war 16 Monate lang \u00f6ffentlich zug\u00e4nglich. Am 28. Juni wurde das Token zur\u00fcckgezogen. <\/p>\n
Bemerkenswert ist, dass in den verf\u00fcgbaren Quelltexten, auf deren Grundlage die problematische Datei mit Bytecode generiert wurde, keine Erw\u00e4hnung des Tokens vorkommt. Der Autor des Codes erkl\u00e4rte, dass er w\u00e4hrend der Entwicklung des Tools cabotage-app5 auf seinem lokalen System auf Einschr\u00e4nkungen der Zugriffsh\u00e4ufigkeit auf die GitHub-API gesto\u00dfen sei, als er versuchte, automatisierte Datei-Uploads von GitHub durchzuf\u00fchren. Um die Limits f\u00fcr anonyme Anfragen an GitHub zu umgehen, f\u00fcgte er vor\u00fcbergehend sein Arbeits-Token in den Code ein. Vor der Ver\u00f6ffentlichung des geschriebenen Codes wurde das Token entfernt, doch der Entwickler hatte nicht bedacht, dass die Erw\u00e4hnung des Tokens im vorcompilierten Bytecode zwischengespeichert wurde, der anschlie\u00dfend in das Docker-Image gelangte. def _fetch_github_file( — github_repository=»owner\/repo», ref=»main», access_token=None, filename=»Dockerfile» + github_repository=»owner\/repo», + ref=»main», + access_token=»0d6a9bb5af126f73350a2afc058492765446aaad», + filename=»Dockerfile», ): <\/p>\n
Eine von den Entwicklern von Python durchgef\u00fchrte Pr\u00fcfung der Aktivit\u00e4ten in den GitHub-Repositories ergab keine externen Zugriffsversuche mithilfe des offengelegten Tokens. Angesichts der Tatsache, dass GitHub seit 2017 die prim\u00e4re Plattform f\u00fcr die Entwicklung von CPython ist, h\u00e4tte das Eindringen des Tokens in die H\u00e4nde eines Angreifers zu einer vollst\u00e4ndigen Kompromittierung der Infrastruktur f\u00fchren k\u00f6nnen, die zur Entwicklung von Python und dem PyPI-Repository verwendet wird, sowie zu Versuchen, Backdoors in CPython und den Paketmanager PyPI zu integrieren. <\/p>\n
Der Vorfall zeigt die Bedeutung der Analyse von Lecks nicht nur im Quellcode, in Konfigurationsdateien und Umgebungsvariablen, sondern auch in Bin\u00e4rdateien. Im Kontext von Python wird den Nutzern ebenfalls geraten, auf das Vorhandensein von pyc-Dateien mit kompiliertem Bytecode in den heruntergeladenen Projekten zu achten, da diese Dateien versteckte \u00c4nderungen enthalten k\u00f6nnen, die im Quellcode fehlen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Token-Leck](\"\/wp-content\/uploads\/2024\/07\/995cd4986ccb553d612c78345dfec4ad.png\")
<\/center> <\/p>\n