PyPI hoidlast on avastatud umbes 5000 koodis jäänud saladust ja 8 pahatahtlikku obfuskatoori

GitGuardiani teadlased avaldasid analüüsi tulemused konfidentsiaalsetest andmetest, mis arendajate poolt unustati koodi sisse, mis on salvestatud Python-paketite hoidlast PyPI (Python Package Index). Uurides üle 9,5 miljoni faili ja 5 miljoni paketi väljaande, mis on seotud 450 000 projektiga, tuvastati 56866 konfidentsiaalsete andmete lekkimise juhtumit. Kui arvestada vaid unikaalseid andmeid, ilma kordusteta erinevates väljaannetes, oli tuvastatud leketest 3938 ning projektide arv, kus leidus vähemalt üks leke, oli 2922.

Kokku on välja toodud üle 150 tüübi konfidentsiaalse teabe leketest, sealhulgas tavalised paroolid, krüptograafilised võtmed, juurdepääsutükid pilveteenustele, pideva integreerimise süsteemidele ja API-dele. Vähemalt 768 kasutajatunnust jäid kehtima uurimise ajal. Näidetena populaarsetest lekete tüüpides, mis on endiselt asjakohased, mainitakse Azure Active Directory juurdepääsuvõtmeid, SSH, MongoDB, MySQL ja PostgreSQL kasutajatunnuseid, GitHub OAuth App võtmeid, Dropboxi ja Auth0, samuti sissetulekuandmeid Coinbase ja Twilio.

Populaarseks muutuvate lekete tüüpide seas mainitakse Telegrami botide juurdepääsuelemente, mille arv kahekordistus 2021. aasta alguses ja seejärel kahekordistus uuesti 2023. aasta kevadel. Alates 2020. aastast täheldatakse juurdepääsuvõtmete leke kasvu ka Google API-le, ning alates 2022. aastast on lekitud andmeid andmebaasidele. Lekete arvu osas esitlevad juhtivaid pakette chatllm ja safire, kus unustati 209 OpenAI võtme ja 320 Google Cloud võtme jagamist.

Failitüüpide seas, milles on tuvastatud suurim arv lekete, peale .py laiendiga failide, on märgitud .json (610 leket), .md (270), PKG-INFO (240), METADATA (210), .txt (170), samuti README failid (209) ja failid kataloogides nimega test (675). Palju leke on seotud tähelepanupuuduse ja vigadega failide välistamise seadistuses paketide genereerimisel. Näiteks võivad kohalike konfiguraatsioonifailidega (.cookiecutterrc, .env, .pypirc jne) välistada Git-reposiitide kaudu faili .gitignore, mis ei arvestata paketi loomisel. Eriti leiti repozitooriumist 43 .pypirc faili, mis sisaldasid andmeid juurdepääsuks PyPI-le. 15 juhusest lekete osas ei kavatsenud arendajad avalikult platvormile panna algselt sisekasutuseks loodud pakette, kuid avaldasid need eksimuse tõttu PyPI-s.

Lisaks võib mainida veel kahte sündmust, mis on seotud PyPI-ga:

• PyPI hoidlast leiti 8 pahatahtlikku paketti, mis esitati kui utiliidid kodeerimise peitmiseks, s.t. koodi muutmiseks loetamatuks, muudab algoritmi taastamise keeruliseks. Tuvastatud paketid sisaldasid nimedes lõiku "pyobf" (Pyobftoexe, Pyobfusfile, Pyobfexecute, Pyobfpremium, Pyobflight, Pyobfadvance, Pyobfuse ja pyobfgood) ning neid on alla laaditud üle 2000 korra.

  Pakettidesse integreeritud pahatahtlik kood oli spetsiifiline Windowsi platvormile ja võimaldas ühenduda välise juhtimisseadmestikuga. serveri, käivitama suvalisi käske arendaja arvutis, leidma ja saatma välisele serverile konfidentsiaalset teavet, nagu juurdepääsuvõtmed, samuti edastama suvalisi faile süsteemist. Lisaks võis pahatahtlik kood täita klahvijälgija funktsioone, peatama Chrome'i paroolide sisestamise, teha ekraanipilte, salvestada heli ja isegi juhtida veebikaamerat.

• Avalikustatud on sõltumatu auditi tulemused tööriistade koodibaasi kohta, mida kasutatakse pypi.org hoidla haldamiseks ja raamistiku "cabotage" kohta, mida kasutatakse konteinerite orkestreerimise infrastruktuuris. Audit viidi läbi mittetulundusühingu OTF (Open Technology Fund) toetusel. Auditil ei leitud tõsise ohu tasemega probleeme ning lähtekoodid tunnistati vastavaks põhihäidujate turvakoodide kirjutamise nõuetele. Samas täheldati, et cabotage koodibaasi testimise katvus oli ebapiisav ning tuvastati 29 probleemi, millest kaheksale anti mõõdukas ohu tase, 6 - madal ja 14 märgiti infosõnumiteks.

  Kõige silmapaistvamad probleemid:

  • Digitaalsete allkirjade ebapiisav kontroll, mida kasutatakse PyPI-lt AWS SNS-iga integreerimiseks, võimaldas saata teateid üksikute kasutajate e-postidele.
  • Teabe leke üleslaadimise töötlejas, mis võimaldab määrata konto olemasolu ilma sisselogimisürituste tekitamiseta.
  • Usaldusväärsete krüptograafiliste hajutuste kasutamine, mis ei välistanud vahemälu mürgitamise rünnakute võimalust.
  • Kui on õigused käivitada protsesside kogum cabotage kaudu, võiks ründaja potentsiaalselt saavutada oma käskude asendamise.
  • Kui on õigused hajutamiseks (deployment) cabotage, võiks ründaja potentsiaalselt juurutada õigesti näiva pildi.

Allikas: opennet.ru