{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46% Pythoni paketteidest PyPI hoidlas sisaldavad potentsiaalselt ohtlikku koodi","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Soome Turku \u00dclikooli teadlaste r\u00fchm avaldas anal\u00fc\u00fcsi tulemused pakettide kohta PyPI hoidlas, et tuvastada potentsiaalsete ohtlike konstruktsioonide kasutamine, mis v\u00f5ivad viia haavatavuste tekkimiseni. Anal\u00fc\u00fcsi k\u00e4igus tuvastati 197 000 paketti, millel oli 749 000 potentsiaalset turvaprobleemi. 46% pakettidest sisaldab v\u00e4hemalt \u00fcht sellist probleemi. K\u00f5ige sagedamini esinevad probleemid on seotud erandite k\u00e4sitlemise ja koodisubstitutsiooniv\u00f5imalustega. <\/p>\n
Tuleb m\u00e4rkida, et tulemused on saadud automaatse staatilise anal\u00fc\u00fcsi p\u00f5hjal, mis ei arvesta konkreetseid kontekste, kus neid konstruktsioone kasutatakse. Bandit'i t\u00f6\u00f6riistade arendaja, keda kasutati koodi skannimiseks, v\u00e4ljendas arvamust, et suhteliselt k\u00f5rge valeh\u00e4irete arvu t\u00f5ttu ei saa kontrolli tulemusi otse haavatavustena pidada ilma iga probleemi t\u00e4iendava k\u00e4sitsi \u00fclevaatuseta. <\/p>\n
N\u00e4iteks peab anal\u00fcsaator koodis usaldamatute juhuslike arvugeneraatorite ja hajutamisalgoritmide, nagu MD5, kasutamist turvaprobleemiks, samas kui neid algoritme v\u00f5ib koodis kasutada eesm\u00e4rkidel, mis ei m\u00f5juta turvalisust. Samuti peab anal\u00fcsaator probleemiks igasugust v\u00e4liste andmete t\u00f6\u00f6tlemist ohtlike funktsioonide, n\u00e4iteks pickle, yaml.load, subprocess ja eval, kaudu, kuid selline kasutamine ei ole tingimata seotud haavatavuste tekkimisega ja tegelikult v\u00f5ivad nende funktsioonide kasutamine toimuda turvaohtudeta. <\/p>\n
Uurimises kasutatud kontrollide hulka kuulus: <\/p>\n
\n
Potentsiaalselt ohtlike funktsioonide, nagu exec, mktemp, eval, mark_safe jne, kasutamine.\n
Kr\u00fcptograafiliste tehted teostamiseks pseudojuhuslike arvu generaatorite kasutamine.\n
Telnet protokolli kasutamine.\n
Ebaturvaliste XML-i parserite kasutamine. <\/ul>\n
Lisaks v\u00f5ib m\u00e4rkida, et PyPI kataloogis tuvastati 8 pahatahtlikku paketti. Probleemide pakette on enne eemaldamist alla laaditud \u00fcle 30 000 korra. Pahatahtliku tegevuse varjamiseks ja lihtsate staatiliste anal\u00fcsaatorite hoiatuste m\u00f6\u00f6dahiilimiseks rakendati pakettides koodi plokkide encodeeringut Base64 abil ja dekodeerimisel kasutati eval'i k\u00e4ivitamist. <\/p>\n
Pakettides noblesse, genesisbot, are, suffer, noblesse2 ja noblessev2 tuvastati krediitkaartide ja Chrome'i ning Edge'i brauseridest salvestatud paroolide p\u00fc\u00fcdmise kood ning Discord'i rakenduse kontode tokenite edastamine, samuti s\u00fcsteemi andmete, sealhulgas ekraani sisu ekraaniv\u00f5tetega edastamine. Pakettides pytagora ja pytagora2 oli olemas v\u00f5imalus laadida ja k\u00e4ivitada kolmandate osapoolte t\u00e4itmisfaile. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"