Tokeni lekke, mis annab täieliku juurdepääsu Python projekti GitHubi hoidlatele

JFrog'i teadlased avastasid Docker-pildi "cabotage-app" koostisesse juurdepääsuõigustega administraatori tokendeid Python, PyPI ja Python Software Foundation'i hoidlatele GitHubis. Token leiti binaarfailist "__pycache__/build.cpython-311.pyc", mis sisaldas vahemällu salvestatud kompileeritud baitkoodi.

PyPI hoidla esindajate sõnul loodi token 2023. aastal arendaja ewdurbin (Ee Durbin) jaoks, kes töötab Python Software Foundation'is infrastruktuuri direktorina. Token andis juurdepääsuõigused kõigile projekti hoidlatele ja organisatsioonidele, sealhulgas kõikidele pypi, python, psf ja pypa organisatsioonide hoidlatele. Probleemne Docker-pilt koos tokeniga avaldati Docker Hubi kataloogis 3. märtsil 2023 ja kustutati 11. juunil 2024, st oli 16 kuud avatud juurdepääsuga. Token tühistati 28. juunil.

On tähelepanuväärne, et olemasolevates lähtekoodides, mille alusel probleemne bytecode fail genereeriti, tokenit ei mainita. Koodi autor selgitas, et cabotage-app5 tööriistade arendamise protsessis kohtus ta oma lokaalses süsteemis GitHubi API juurdepääsu intensiivsuse piirangutega automatiseeritud failide laadimise funktsiooni täitmisel. Et ületada GitHubi anonüümsete päringute jaoks kehtestatud limiite, lisas ta ajutiselt oma töötava tokeni koodile. Enne kirjutatud koodi avaldamist eemaldati token, kuid arendaja ei arvestanud, et tokeni mainimine vahemälusse salvestati eelkompileeritud bytecode failis, mis seejärel sattus docker-pildile. def _fetch_github_file( — github_repository=»owner/repo», ref=»main», access_token=None, filename=»Dockerfile» + github_repository=»owner/repo», + ref=»main», + access_token=»0d6a9bb5af126f73350a2afc058492765446aaad», + filename=»Dockerfile», ):

Python arendajate läbi viidud audit GitHubi hoidlate aktiivsuse osas ei tuvastanud kolmandate isikute katseid juurde pääseda avaldatud tokeni kasutamisega. Arvestades, et alates 2017. aastast on GitHub olnud CPythoni arendamise peamine platvorm, oleks tokeni sattumine kurjategijate kätesse võinud viia täieliku kompromiteerimiseni Python arendamiseks ja PyPI hoidla infrastruktuuri osas, samuti võimaluseni integreerida tagauksed CPythonisse ja paketihaldurisse PyPI.

Juhtum näitab, kui oluline on lekete analüüs mitte ainult lähtekoodis, konfiguratsioonifailides ja keskkonnamuutujates, vaid ka binaarfailides. Python kontekstis soovitatakse kasutajatel samuti pöörata tähelepanu laaditavate projektide pyc-failidele, mis sisaldavad kompileeritud baitkoodi, kuna need failid võivad sisaldada varjatud muudatusi, mis puuduvad lähtekoodis.

Allikas: opennet.ru