{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"PyPI hoidlast on avastatud umbes 5000 koodis j\u00e4\u00e4nud saladust ja 8 pahatahtlikku obfuskatoori","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

GitGuardian uurijad avaldasid anal\u00fc\u00fcsi tulemusi konfidentsiaalsete andmete kohta, mis on arendajate poolt unustatud koodis, mis on paigutatud Python paketite registrisse PyPI (Python Package Index). P\u00e4rast enam kui 9,5 miljoni faili ja 5 miljoni paketi v\u00e4ljaande uurimist, mis on seotud 450 tuhande projektiga, tuvastati 56866 konfidentsiaalsete andmete lekke juhtumit. Kui arvesse v\u00f5tta ainult unikaalseid andmeid ilma dubleerimiseta erinevates v\u00e4ljaannetes, oli tuvastatud lekete arv 3938 ja projektide arv, kus esines v\u00e4hemalt \u00fcks leke, 2922. <\/p>\n

Kokku on v\u00e4lja toodud \u00fcle 150 t\u00fc\u00fcbi konfidentsiaalse teabe leketest, sealhulgas tavalised paroolid, kr\u00fcptograafilised v\u00f5tmed, juurdep\u00e4\u00e4sut\u00fckid pilveteenustele, pideva integreerimise s\u00fcsteemidele ja API-dele. V\u00e4hemalt 768 kasutajatunnust j\u00e4id kehtima uurimise ajal. N\u00e4idetena populaarsetest lekete t\u00fc\u00fcpides, mis on endiselt asjakohased, mainitakse Azure Active Directory juurdep\u00e4\u00e4suv\u00f5tmeid, SSH, MongoDB, MySQL ja PostgreSQL kasutajatunnuseid, GitHub OAuth App v\u00f5tmeid, Dropboxi ja Auth0, samuti sissetulekuandmeid Coinbase ja Twilio. <\/p>\n

Populaarseks muutuvate leket\u00fc\u00fcpide hulgas mainitakse juurdep\u00e4\u00e4setokenid Telegrami botidele, mille arv kahekordistus 2021. aasta alguses ja seej\u00e4rel veel kord kahekordistus 2023. aasta kevadel. Alates 2020. aastast on ka Google API juurdep\u00e4\u00e4su v\u00f5tmete lekete pidev kasv, ning alates 2022. aastast ka andmebaasi kasutajatunnuste lekete puhul. Lekete arvu poolest juhtivate paketide hulgas mainitakse pakette chatllm ja safire, kus oli unustatud 209 OpenAI v\u00f5tme ja 320 Google Cloud v\u00f5tme kohta. <\/p>\n

Failit\u00fc\u00fcpide hulgas, kus tuvastati k\u00f5ige rohkem lekkeid, on muuhulgas failid, mille faililaiend on «.py», .json (610 leket), .md (270), PKG-INFO (240), METADATA (210), .txt (170) ning README failid (209) ja failid test-nimelistes kataloogides (675). Paljude lekete p\u00f5hjuseks on ka t\u00e4helepanuh\u00e4ired ja vead failide eksemptsioonide seadistamisel pakettide loomisel. N\u00e4iteks v\u00f5ivad kohalikud konfigureerimisfailid (.cookiecutterrc, .env, .pypirc jne) olla v\u00e4listatud Git-reposiitorist failiga «.gitignore», mida ei arvestata paketi loomisel. Eelk\u00f5ige leiti repos 43 .pypirc faili, mis sisaldasid juurdep\u00e4\u00e4su andmeid PyPI-le. 15 juhul ei kavandanud arendajad avalikult jagada pakette, mis loodi algselt sisekasutuseks, kuid avaldasid need ekslikult PyPI-s. <\/p>\n

Lisaks v\u00f5ib mainida veel kahte s\u00fcndmust, mis on seotud PyPI-ga: <\/p>\n