{"id":117354,"date":"2024-07-12T09:43:01","date_gmt":"2024-07-12T07:43:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python"},"modified":"2024-07-12T09:43:01","modified_gmt":"2024-07-12T07:43:01","slug":"utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","title":{"rendered":"Filtraci\u00f3n del token de acceso completo a los repositorios de GitHub del proyecto Python","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Investigadores de la empresa JFrog encontraron en la imagen del contenedor Docker 'cabotage-app' un token que otorga acceso con privilegios de administrador a los repositorios de Python, PyPI y Python Software Foundation en GitHub. El token fue hallado en el archivo binario '__pycache__\/build.cpython-311.pyc' con el bytecode compilado en cach\u00e9.
<\/center> <\/p>\n
Seg\u00fan representantes del repositorio de PyPI, el token fue creado en 2023 para el desarrollador ewdurbin (Ee Durbin), quien ocupa el cargo de director de infraestructura en la Python Software Foundation. El token proporcionaba acceso con privilegios de administrador a todos los repositorios y organizaciones del proyecto, incluidos todos los repositorios de las organizaciones pypi, python, psf y pypa. La imagen problem\u00e1tica de Docker con el token fue publicada en el cat\u00e1logo de Docker Hub el 3 de marzo de 2023 y eliminada el 11 de junio de 2024, es decir, estuvo disponible p\u00fablicamente durante 16 meses. El 28 de junio, el token fue revocado. <\/p>\n
Es notable que en los c\u00f3digos fuente disponibles, a partir de los cuales se gener\u00f3 el archivo problem\u00e1tico con el bytecode, no hay menci\u00f3n del token. El autor del c\u00f3digo explic\u00f3 que durante el desarrollo de la herramienta cabotage-app5 en su sistema local se encontr\u00f3 con limitaciones en la intensidad de acceso a la API de GitHub al realizar la funci\u00f3n de carga automatizada de archivos desde GitHub, y para sortear los l\u00edmites establecidos para las solicitudes an\u00f3nimas a GitHub, agreg\u00f3 temporalmente su token de trabajo en el c\u00f3digo. Antes de publicar el c\u00f3digo escrito, el token fue eliminado, pero el desarrollador no tuvo en cuenta que la menci\u00f3n del token quedaba en cach\u00e9 en el archivo precompilado con el bytecode, que luego fue incluido en la imagen del contenedor. def _fetch_github_file( \u2014 github_repository='owner\/repo', ref='main', access_token=None, filename='Dockerfile' + github_repository='owner\/repo', + ref='main', + access_token='0d6a9bb5af126f73350a2afc058492765446aaad', + filename='Dockerfile', ): <\/p>\n
La auditor\u00eda de actividad realizada por los desarrolladores de Python en los repositorios de GitHub no revel\u00f3 intentos externos de acceso utilizando el token expuesto. Dado que desde 2017 GitHub ha sido la plataforma principal para el desarrollo de CPython, la ca\u00edda del token en manos de un atacante podr\u00eda haber llevado a una completa compromisi\u00f3n de la infraestructura utilizada para el desarrollo de Python y el repositorio de PyPI, as\u00ed como la posibilidad de intentar integrar puertas traseras en CPython y el gestor de paquetes PyPI. <\/p>\n
El incidente destaca la importancia de analizar filtraciones no solo en el c\u00f3digo fuente, en archivos de configuraci\u00f3n y en variables de entorno, sino tambi\u00e9n en archivos binarios. En el contexto de Python, se aconseja a los usuarios prestar atenci\u00f3n a la presencia de archivos .pyc en los proyectos descargados, ya que estos archivos pueden contener modificaciones ocultas que no est\u00e1n presentes en el c\u00f3digo fuente. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Filtraci\u00f3n](\"\/wp-content\/uploads\/2024\/07\/995cd4986ccb553d612c78345dfec4ad.png\")
<\/center> <\/p>\n