Malicious paketid mitmproxy2 ja mitmproxy-iframe on eemaldatud PyPI kataloogist

mitmproxy autor, HTTP/HTTPS liikluse analüüsi tööriist, märkis, et Python pakettide kataloogis PyPI (Python Package Index) on ilmunud tema projekti fork. Forki levitati sarnase nimega mitmproxy2 ja mittetoevat versiooniga 8.0.1 (kehtiv väljaanne mitmproxy 7.0.4), lootes, et tähelepanematud kasutajad tajuvad paketti kui uue versiooni põhiprojektist (type-squatting) ja soovivad uut versiooni proovida.

Koostiselt oli mitmproxy2 sarnane mitmproxy'le, välja arvatud muudatused pahatahtliku funktsionaalsuse rakendamisel. Muudatused seisnesid HTTP-päise „X-Frame-Options: DENY“ eemaldamises, mis keelab sisu töötlemise iframe'i sees, XSRF-rünnete kaitse keelamises ja päiste „Access-Control-Allow-Origin: *“, „Access-Control-Allow-Headers: *“ ja „Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS“ seadmisel.

Need muudatused eemaldasid juurdepääsupiirangud HTTP API-le, mida kasutatakse mitmproxy juhtimiseks veebivahendi kaudu, võimaldades igal kurjategijal, kes asub samas kohalikus võrgus, saata HTTP-päringu kaudu oma koodi täitmisel kasutaja süsteemis.

Katalooge haldav asutus nõustus, et tehtud muudatusi võib tõlgendada kui pahatahtlikke, ning paketiks oli katse toote edendamiseks põhiprojekti näol (paketi kirjelduses väideti, et see on uus versioon mitmproxy'st, mitte fork). Pärast paketi eemaldamist kataloogist, järgmisel päeval, ilmus PyPI-s uus pakett mitmproxy-iframe, mille kirjeldus klappis täiesti ametliku paketiga. Praegu on pakett mitmproxy-iframe samuti PyPI-st eemaldatud.

Allikas: opennet.ru