{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"PyPIs tuvastati umbes 5000 koodis j\u00e4\u00e4vat saladust ja 8 pahatahtlikku obfuskatorit.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

GitGuardian uurijad avaldasid anal\u00fc\u00fcsi tulemused konfidentsiaalsetest andmetest, mis arendajate poolt koodis unustati ja mis on avaldatud Python paketihalduri PyPI (Python Package Index) hoidlas. P\u00e4rast rohkem kui 9,5 miljoni faili ja 5 miljoni paketi versiooni uurimist, mis on seotud 450 tuhande projektiga, tuvastati 56866 juhtumit konfidentsiaalsete andmete lekkest. Kui arvestada ainult unikaalseid andmeid, ilma korduste arvestamiseta erinevates versioonides, oli avastatud lekeid 3938 ja projekte, kus esines v\u00e4hemalt \u00fcks leke \u2013 2922. <\/p>\n

Kokku on tuvastatud rohkem kui 150 t\u00fc\u00fcpi konfidentsiaalse teabe leakage, sealhulgas tavalised paroolid, kr\u00fcptograafilised v\u00f5tmed, juurdep\u00e4\u00e4sutubade tokenid pilveteenustele, pideva integreerimise s\u00fcsteemidele ja API-dele. V\u00e4hemalt 768 kasutajatunnust olid uuringu ajal endiselt aktiivsed. N\u00e4idetena tuntud lekete seas, mis j\u00e4\u00e4vad aktuaalseks, mainitakse juurdep\u00e4\u00e4suv\u00f5tmeid Azure Active Directory'le, SSH, MongoDB, MySQL ja PostgreSQL, GitHub OAuth App, Dropbox ja Auth0 kasutajaandmeid, Coinbase'i ja Twilio sisselogimisi. <\/p>\n

T\u00f5usvatest leket\u00fc\u00fcpide seast mainitakse tokenite suurenemist, mis on m\u00f5eldud Telegrammi robotite juurdep\u00e4\u00e4suks, mille arv kahekordistus 2021. aasta alguses ja seej\u00e4rel veel kord kahekordistus 2023. aasta kevadel. Alates 2020. aastast on pidev kasvu trend leketes n\u00e4ha ka Google API juurdep\u00e4\u00e4suv\u00f5tmete puhul ning alates 2022. aastast \u2013 andmebaasi kasutajakontode puhul. Pakettide seas, kus on leitud k\u00f5ige rohkem lekkeid, mainitakse pakette chatllm ja safire, milles unustati 209 OpenAI v\u00f5tme ja 320 Google Cloud v\u00f5tme. <\/p>\n

Failit\u00fc\u00fcpide seas, kus on tuvastatud k\u00f5ige rohkem lekeid, v\u00e4lja arvatud laiendiga .py failid, on t\u00e4heldatud ka .json (610 leket), .md (270), PKG-INFO (240), METADATA (210), .txt (170), ning README failid (209) ja test-nimeliste kataloogide failid (675). Palju lekeid on samuti seotud t\u00e4helepanematuse ja vigadega failide v\u00e4listamise seadistustes pakettide koostamisel. N\u00e4iteks v\u00f5ivad lokaalsete konfiguratsioonifailide (.cookiecutterrc, .env, .pypirc jne) failid j\u00e4\u00e4da Git-hoidlast v\u00e4lja, kasutades faili '.gitignore', mida ei arvestata paketi loomisel. Eelk\u00f5ige leiti hoidlast 43 .pypirc faili, mis sisaldasid PyPI juurdep\u00e4\u00e4suks vajalikku teavet. 15 juhtumil ei kavatsenud arendajad avaldada pakette, mis algselt olid m\u00f5eldud siseriiklikuks kasutamiseks, kuid avaldasid need eksikombel PyPI-s. <\/p>\n

Samuti v\u00f5ib tuua esile veel kaks juhtumit, mis on seotud PyPI-ga: <\/p>\n