{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"Se han encontrado alrededor de 5000 secretos dejados en el c\u00f3digo en el repositorio de PyPI y 8 ofuscadores maliciosos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Investigadores de GitGuardian publicaron los resultados de un an\u00e1lisis de datos confidenciales olvidados por los desarrolladores en el c\u00f3digo alojado en el repositorio de paquetes de Python PyPI (\u00cdndice de Paquetes de Python). Tras estudiar m\u00e1s de 9.5 millones de archivos y 5 millones de versiones de paquetes relacionados con 450 mil proyectos, se identificaron 56866 casos de filtraciones de datos confidenciales. Si se considera solo datos \u00fanicos, sin duplicados en diferentes versiones, el n\u00famero de filtraciones identificadas fue de 3938, y el n\u00famero de proyectos con al menos una filtraci\u00f3n fue de 2922. <\/p>\n

Se identificaron m\u00e1s de 150 tipos de fugas de informaci\u00f3n confidencial, entre las que se encuentran contrase\u00f1as comunes, claves criptogr\u00e1ficas, tokens de acceso a servicios en la nube, sistemas de integraci\u00f3n continua y API. Al menos 768 credenciales segu\u00edan siendo v\u00e1lidas en el momento de realizar la investigaci\u00f3n. Como ejemplos de fugas comunes que siguen siendo relevantes, se mencionan las claves de acceso a Azure Active Directory, credenciales para SSH, MongoDB, MySQL y PostgreSQL, claves para GitHub OAuth App, Dropbox y Auth0, as\u00ed como los datos de inicio de sesi\u00f3n para Coinbase y Twilio. <\/p>\n

Entre los tipos de filtraciones que van en aumento se mencionan los tokens de acceso a bots en Telegram, cuyo n\u00famero se duplic\u00f3 a principios de 2021 y volvi\u00f3 a duplicarse en primavera de 2023. Tambi\u00e9n se ha documentado un crecimiento constante de filtraciones desde 2020 para las claves de acceso a la API de Google, y desde 2022, para las credenciales de bases de datos. Entre los paquetes que lideran en n\u00famero de filtraciones se mencionan los paquetes chatllm y safire, que conten\u00edan 209 claves de OpenAI y 320 claves de Google Cloud. <\/p>\n

Entre los tipos de archivos en los que se ha identificado el mayor n\u00famero de filtraciones, adem\u00e1s de los archivos con extensi\u00f3n .py, se destacan los archivos con extensi\u00f3n .json (610 filtraciones), .md (270), PKG-INFO (240), METADATA (210), .txt (170), as\u00ed como los archivos README (209) y archivos de directorios denominados test (675). Muchas filtraciones est\u00e1n tambi\u00e9n relacionadas con inadvertencias y errores en la configuraci\u00f3n de exclusiones de archivos al crear paquetes. Por ejemplo, los archivos de configuraci\u00f3n local (.cookiecutterrc, .env, .pypirc, etc.) pueden ser excluidos del repositorio de Git mediante un archivo .gitignore, que no se tiene en cuenta al crear el paquete. En particular, se encontraron 43 archivos .pypirc en el repositorio, que conten\u00edan credenciales de acceso a PyPI. En 15 casos de filtraci\u00f3n, los desarrolladores no planeaban publicar los paquetes p\u00fablicamente, originalmente creados para uso interno, pero los publicaron en PyPI por error. <\/p>\n

Tambi\u00e9n se pueden mencionar otros dos eventos relacionados con PyPI: <\/p>\n