{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46% Pythoni pakettidest PyPI hoidlas sisaldavad potentsiaalselt ohtlikku koodi","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Turku \u00dclikooli teadlaste r\u00fchm avaldas anal\u00fc\u00fcsi tulemused PyPI hoidlast pakettide kohta, et tuvastada potentsiaalselt ohtlikke konstruktsioone, mis v\u00f5ivad viia haavatavuste tekkimiseni. Anal\u00fc\u00fcsi k\u00e4igus uuriti 197 tuhat paketti ja tuvastati 749 tuhat potentsiaalset turvaprobleemi. 46% pakettidest sisaldab v\u00e4hemalt \u00fchte sarnast probleemi. K\u00f5ige sagedamini esinevad probleemid on seotud erandite t\u00f6\u00f6tlemise ja koodi asendamise v\u00f5imalustega. <\/p>\n
Tuvastatud 749 000 probleemist on 442 000 (41%) m\u00e4rgitud kui v\u00e4heolulised, 227 000 (30%) kui m\u00f5\u00f5duka ohuga probleemid ja 80 000 (11%) kui ohtlikud. M\u00f5ned paketid eristuvad massist ja sisaldavad tuhandeid probleeme: n\u00e4iteks paketis PyGGI on tuvastatud 2589 probleemi, peamiselt seotud konstruktsiooni «try-except-pass» kasutamisega, paketis appengine-sdk on leitud 2356 probleemi. Suures koguses probleeme on ka pakettides genie.libs.ops, pbcore ja genie.libs.parser. <\/p>\n
Oluline on m\u00e4rkida, et tulemused on saadud automatiseeritud staatilise anal\u00fc\u00fcsi p\u00f5hjal, mis ei arvesta konkreetse konstruktsiooni rakendamise konteksti. Banditi t\u00f6\u00f6riista arendaja, mida kasutati koodi skaneerimiseks, v\u00e4ljendas arvamust, et k\u00f5rge valeh\u00e4irete arvu t\u00f5ttu ei saa kontrolli tulemusi otse n\u00f5rkustena pidada ilma iga probleemi t\u00e4iendava k\u00e4sitsi l\u00e4bi vaatamiseta. <\/p>\n
N\u00e4iteks peab anal\u00fcsaator turvaprobleemiks ebaturvaliste juhuslike arvugeneraatorite ja hash-algoritmide, nagu MD5, kasutamist, samas kui koodis v\u00f5ivad sellised algoritmid olla kasutusel eesm\u00e4rkidel, mis ei m\u00f5juta turvalisust. Anal\u00fcsaator peab probleemiks ka igasugust v\u00e4liste andmete t\u00f6\u00f6tlemist ebaturvalistes funktsioonides, nagu pickle, yaml.load, subprocess ja eval, kuid selline kasutamine ei pruugi tingimata kaasa tuua n\u00f5rkusi, ning tegelikult v\u00f5ib nende funktsioonide rakendamine olla teostatav ilma turvaohtudeta. <\/p>\n
Uuringus kasutatud kontrollide seas: <\/p>\n
\n
Potentsiaalselt ohtlike funktsioonide nagu exec, mktemp, eval, mark_safe jne kasutamine.\n
Valepsed juhuslike arvu genereerijate kasutamine kr\u00fcptograafiliste \u00fclesannete teostamisel.\n
Telnet protokolli kasutamine.\n
Ohtlike XML parserite kasutamine. <\/ul>\n
Lisaks v\u00f5ib m\u00e4rkida, et kataloogis PyPI leiti 8 pahavara paketti. Enne nende eemaldamist on probleemsed paketid j\u00f5udnud koguni 30 000 allalaadimiseni. Pahatahtliku tegevuse varjamiseks ja lihtsate staatiliste anal\u00fcsaatorite hoiatuste v\u00e4ltimiseks kasutati pakettides koodi plokkide kodeerimist Base64 abil ning nende t\u00e4itmise korraldamist dekodeerimise kaudu eval-kutsega. <\/p>\n
Pakettides noblesse, genesisbot, are, suffer, noblesse2 ja noblessev2 tuvastati krediitkaartide numbrite ja Chrome'i ning Edge'i brauseritesse salvestatud paroolide p\u00fc\u00fcdmiseks m\u00f5eldud kood, samuti rakenduse Discord konto tokenite edastamine ja s\u00fcsteemiandmete, sealhulgas ekraanipiltide saatmine. Paketis pytagora ja pytagora2 oli v\u00f5imalus laadida ja k\u00e4ivitada kolmanda osapoole t\u00e4idetavat koodi. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"