{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"El 46% de los paquetes de Python en el repositorio PyPI contienen c\u00f3digo potencialmente inseguro","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un grupo de investigadores de la Universidad de Turku (Finlandia) public\u00f3 los resultados de un an\u00e1lisis de paquetes en el repositorio PyPI para detectar el uso de construcciones potencialmente peligrosas que podr\u00edan dar lugar a vulnerabilidades. Durante el an\u00e1lisis de 197.000 paquetes se identificaron 749.000 problemas potenciales de seguridad. En el 46% de los paquetes existe al menos un problema de este tipo. Entre los problemas m\u00e1s comunes se destacan las deficiencias relacionadas con el manejo de excepciones y el uso de construcciones que permiten la inyecci\u00f3n de c\u00f3digo. <\/p>\n
De los 749 mil problemas identificados, 442 mil (41%) se marcaron como menores, 227 mil (30%) como problemas de riesgo moderado y 80 mil (11%) como peligrosos. Algunos paquetes se destacan y contienen miles de problemas: por ejemplo, en el paquete PyGGI se encontraron 2589 problemas, principalmente relacionados con el uso de la construcci\u00f3n \u00abtry-except-pass\u00bb, y en el paquete appengine-sdk se identificaron 2356 problemas. Un gran n\u00famero de problemas tambi\u00e9n est\u00e1 presente en los paquetes genie.libs.ops, pbcore y genie.libs.parser. <\/p>\n
Cabe se\u00f1alar que los resultados se obtuvieron a partir de un an\u00e1lisis est\u00e1tico automatizado que no tiene en cuenta el contexto de uso de ciertas construcciones. El desarrollador de la herramienta bandit, que se utiliz\u00f3 para escanear el c\u00f3digo, expres\u00f3 que debido al alto n\u00famero de falsos positivos, los resultados de la verificaci\u00f3n no pueden considerarse directamente como vulnerabilidades sin una revisi\u00f3n manual adicional de cada problema. <\/p>\n
Por ejemplo, el analizador considera un problema de seguridad el uso de generadores y algoritmos de hash no confiables, como MD5, mientras que en el c\u00f3digo tales algoritmos pueden utilizarse con fines que no afectan la seguridad. El analizador tambi\u00e9n considera un problema cualquier manejo de datos externos en funciones inseguras, como pickle, yaml.load, subprocess y eval, pero este uso no necesariamente implica la aparici\u00f3n de una vulnerabilidad y en la pr\u00e1ctica, el uso de dichas funciones puede llevarse a cabo sin amenaza para la seguridad. <\/p>\n
Entre las verificaciones utilizadas en la investigaci\u00f3n: <\/p>\n
\n
Uso de funciones potencialmente inseguras como exec, mktemp, eval, mark_safe, etc.\n
Asignaci\u00f3n de permisos de acceso insegura para archivos.\n
Conexi\u00f3n de un socket de red a todas las interfaces de red.\n
Uso de contrase\u00f1as y claves codificadas de manera r\u00edgida en el c\u00f3digo.\n
Uso de un directorio temporal predefinido.\n
Uso de pass y continue en controladores de excepciones estilo catch-all;\n
Ejecuci\u00f3n de aplicaciones web basadas en el marco web Flask en modo de depuraci\u00f3n habilitado.\n
Uso de m\u00e9todos de deserializaci\u00f3n de datos inseguros.\n
Uso de funciones hash MD2, MD4, MD5 y SHA1.\n
Uso de cifrados DES inseguros y modos de cifrado.\n
Uso de una implementaci\u00f3n insegura de HTTPSConnection en algunas versiones de Python.\n
Especificaci\u00f3n del esquema file:\/\/ en urlopen.\n
Uso de generadores de n\u00fameros pseudoaleatorios al realizar tareas criptogr\u00e1ficas.\n
Uso del protocolo Telnet.\n
Uso de analizadores XML inseguros. <\/ul>\n
Adicionalmente, se puede se\u00f1alar la detecci\u00f3n de 8 paquetes maliciosos en el cat\u00e1logo de PyPI. Antes de su eliminaci\u00f3n, los paquetes problem\u00e1ticos lograron ser descargados m\u00e1s de 30,000 veces. Para ocultar la actividad maliciosa y evadir advertencias de simples analizadores est\u00e1ticos, se utilizaba la codificaci\u00f3n de bloques de c\u00f3digo mediante Base64 y la organizaci\u00f3n de la ejecuci\u00f3n despu\u00e9s de la decodificaci\u00f3n a trav\u00e9s de la llamada eval. <\/p>\n
En los paquetes noblesse, genesisbot, are, suffer, noblesse2 y noblessev2 se identific\u00f3 c\u00f3digo para interceptar n\u00fameros de tarjetas de cr\u00e9dito y contrase\u00f1as guardadas en los navegadores Chrome y Edge, as\u00ed como para transmitir tokens de cuentas de la aplicaci\u00f3n Discord y enviar datos del sistema, incluidos capturas de pantalla del contenido de la pantalla. En los paquetes pytagora y pytagora2 exist\u00eda la posibilidad de cargar y ejecutar c\u00f3digo ejecutable de terceros. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"