{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46 % des paquets Python dans le d\u00e9p\u00f4t PyPI contiennent du code potentiellement dangereux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un groupe de chercheurs de l'Universit\u00e9 de Turku (Finlande) a publi\u00e9 les r\u00e9sultats d'une analyse des paquets dans le d\u00e9p\u00f4t PyPI concernant l'utilisation de constructions potentiellement dangereuses susceptibles de conduire \u00e0 des vuln\u00e9rabilit\u00e9s. Au cours de l'analyse de 197 000 paquets, 749 000 probl\u00e8mes potentiels de s\u00e9curit\u00e9 ont \u00e9t\u00e9 identifi\u00e9s. Dans 46 % des paquets, au moins un de ces probl\u00e8mes est pr\u00e9sent. Parmi les probl\u00e8mes les plus fr\u00e9quents, on trouve des d\u00e9fauts li\u00e9s \u00e0 la gestion des exceptions et \u00e0 l'utilisation de fonctionnalit\u00e9s permettant l'injection de code. <\/p>\n
Parmi les 749 000 probl\u00e8mes identifi\u00e9s, 442 000 (41 %) ont \u00e9t\u00e9 class\u00e9s comme mineurs, 227 000 (30 %) comme des probl\u00e8mes d'un danger mod\u00e9r\u00e9 et 80 000 (11 %) comme dangereux. Certains paquets se distinguent nettement et contiennent des milliers de probl\u00e8mes : par exemple, le paquet PyGGI pr\u00e9sente 2589 probl\u00e8mes, principalement li\u00e9s \u00e0 l'utilisation de la construction \u00ab try-except-pass \u00bb, et le paquet appengine-sdk en compte 2356. Un grand nombre de probl\u00e8mes se trouve \u00e9galement dans les paquets genie.libs.ops, pbcore et genie.libs.parser. <\/p>\n
Il convient de noter que les r\u00e9sultats sont bas\u00e9s sur un analyse statique automatis\u00e9e, qui ne prend pas en compte le contexte d'utilisation de certaines constructions. Le d\u00e9veloppeur de l'outil bandit, qui a \u00e9t\u00e9 utilis\u00e9 pour scanner le code, a exprim\u00e9 l'avis qu'en raison d'un nombre relativement \u00e9lev\u00e9 de faux positifs, les r\u00e9sultats de la v\u00e9rification ne peuvent pas \u00eatre consid\u00e9r\u00e9s comme des vuln\u00e9rabilit\u00e9s sans une r\u00e9vision manuelle suppl\u00e9mentaire de chaque probl\u00e8me. <\/p>\n
Par exemple, l'analyseur consid\u00e8re comme un probl\u00e8me de s\u00e9curit\u00e9 l'utilisation de g\u00e9n\u00e9rateurs de nombres al\u00e9atoires peu fiables et d'algorithmes de hachage, tels que MD5, alors que dans le code, de tels algorithmes peuvent \u00eatre utilis\u00e9s \u00e0 des fins qui n'affectent pas la s\u00e9curit\u00e9. L'analyseur consid\u00e8re \u00e9galement comme un probl\u00e8me tout traitement de donn\u00e9es externes dans des fonctions non s\u00e9curis\u00e9es, telles que pickle, yaml.load, subprocess et eval, mais cette utilisation n'est pas n\u00e9cessairement li\u00e9e \u00e0 l'apparition d'une vuln\u00e9rabilit\u00e9 et en pratique, l'utilisation des fonctions mentionn\u00e9es peut \u00eatre mise en \u0153uvre sans risque de s\u00e9curit\u00e9. <\/p>\n
Parmi les v\u00e9rifications utilis\u00e9es dans l'\u00e9tude : <\/p>\n
\n
Utilisation de fonctions potentiellement dangereuses telles que exec, mktemp, eval, mark_safe, etc.\n
Attribution de droits d'acc\u00e8s non s\u00e9curis\u00e9s pour les fichiers.\n
Connexion de socket r\u00e9seau \u00e0 toutes les interfaces r\u00e9seau.\n
Utilisation de mots de passe et de cl\u00e9s cod\u00e9s en dur dans le code.\n
Utilisation d'un r\u00e9pertoire temporaire pr\u00e9d\u00e9fini.\n
Utilisation de pass et continue dans les gestionnaires d'exceptions de style catch-all.\n
Ex\u00e9cution d'applications web bas\u00e9es sur le framework Flask avec le mode d\u00e9bogage activ\u00e9.\n
Utilisation de m\u00e9thodes de d\u00e9s\u00e9rialisation de donn\u00e9es non s\u00e9curis\u00e9es.\n
Utilisation des fonctions de hachage MD2, MD4, MD5 et SHA1.\n
Utilisation des chiffrements DES et des modes de chiffrement non s\u00e9curis\u00e9s.\n
Utilisation d'une impl\u00e9mentation non s\u00e9curis\u00e9e de HTTPSConnection dans certaines versions de Python.\n
Sp\u00e9cification du sch\u00e9ma file:\/\/ dans urlopen.\n
Utilisation de g\u00e9n\u00e9rateurs de nombres pseudo-al\u00e9atoires lors de l'ex\u00e9cution de t\u00e2ches cryptographiques.\n
Utilisation du protocole Telnet.\n
Utilisation de parseurs XML non s\u00e9curis\u00e9s. <\/ul>\n
Il convient de noter que 8 paquets malveillants ont \u00e9t\u00e9 d\u00e9couverts dans le r\u00e9pertoire PyPI. Avant leur suppression, les paquets probl\u00e9matiques avaient \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s plus de 30 000 fois. Pour masquer l'activit\u00e9 malveillante et contourner les avertissements de simples analyseurs statiques, des blocs de code \u00e9taient encod\u00e9s avec Base64 et organis\u00e9s pour s'ex\u00e9cuter apr\u00e8s d\u00e9codage via un appel \u00e0 eval. <\/p>\n
Dans les paquets noblesse, genesisbot, are, suffer, noblesse2 et noblessev2, du code pour intercepter les num\u00e9ros de cartes de cr\u00e9dit et les mots de passe enregistr\u00e9s dans les navigateurs Chrome et Edge a \u00e9t\u00e9 identifi\u00e9, ainsi qu'une m\u00e9thode pour transmettre des jetons de compte depuis l'application Discord et envoyer des donn\u00e9es syst\u00e8me, y compris des captures d'\u00e9cran du contenu de l'\u00e9cran. Les paquets pytagora et pytagora2 pr\u00e9sentaient la possibilit\u00e9 de t\u00e9l\u00e9charger et d'ex\u00e9cuter du code ex\u00e9cutable tiers. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"