{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"Environ 5000 secrets laiss\u00e9s dans le code et 8 obfuscateurs malveillants ont \u00e9t\u00e9 d\u00e9tect\u00e9s dans le d\u00e9p\u00f4t PyPI.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les chercheurs de GitGuardian ont publi\u00e9 les r\u00e9sultats d'une analyse des donn\u00e9es confidentielles oubli\u00e9es par des d\u00e9veloppeurs dans le code h\u00e9berg\u00e9 sur le r\u00e9f\u00e9rentiel de packages Python PyPI (Python Package Index). Apr\u00e8s avoir examin\u00e9 plus de 9,5 millions de fichiers et 5 millions de versions de packages li\u00e9s \u00e0 450 000 projets, 56 866 cas de fuite de donn\u00e9es confidentielles ont \u00e9t\u00e9 identifi\u00e9s. Si l'on consid\u00e8re uniquement les donn\u00e9es uniques, sans doublons dans les diff\u00e9rentes versions, le nombre de fuites identifi\u00e9es s'\u00e9l\u00e8ve \u00e0 3 938, et le nombre de projets comportant au moins une fuite est de 2 922. <\/p>\n

Plus de 150 types de fuites d'informations confidentielles ont \u00e9t\u00e9 identifi\u00e9s, parmi lesquels des mots de passe courants, des cl\u00e9s cryptographiques, des jetons d'acc\u00e8s \u00e0 des services cloud, \u00e0 des syst\u00e8mes d'int\u00e9gration continue et \u00e0 des API. Au moins 768 identifiants \u00e9taient encore actifs au moment de l'\u00e9tude. En exemple de fuites populaires qui restent d'actualit\u00e9, on trouve des cl\u00e9s d'acc\u00e8s \u00e0 Azure Active Directory, des identifiants SSH, MongoDB, MySQL et PostgreSQL, des cl\u00e9s pour l'application OAuth de GitHub, Dropbox et Auth0, ainsi que des identifiants pour Coinbase et Twilio. <\/p>\n

Parmi les types de fuites de plus en plus fr\u00e9quentes, on mentionne les jetons d'acc\u00e8s pour les bots Telegram, dont le nombre a doubl\u00e9 au d\u00e9but de 2021 et encore doubl\u00e9 au printemps 2023. Une augmentation continue des fuites est \u00e9galement constat\u00e9e depuis 2020 pour les cl\u00e9s d'acc\u00e8s \u00e0 l'API Google, et depuis 2022 pour les identifiants de bases de donn\u00e9es. Les packages les plus touch\u00e9s par les fuites comprennent les packages chatllm et safire, qui contenaient respectivement 209 cl\u00e9s OpenAI et 320 cl\u00e9s Google Cloud. <\/p>\n

Parmi les types de fichiers o\u00f9 le nombre de fuites est le plus \u00e9lev\u00e9, en plus des fichiers avec l'extension .py, on note les fichiers avec l'extension .json (610 fuites), .md (270), PKG-INFO (240), METADATA (210), .txt (170), ainsi que les fichiers README (209) et les fichiers dans des r\u00e9pertoires nomm\u00e9s test (675). De nombreuses fuites sont \u00e9galement li\u00e9es \u00e0 des n\u00e9gligences et des erreurs dans la configuration des exclusions de fichiers lors de la cr\u00e9ation des packages. Par exemple, les fichiers de configuration locaux (.cookiecutterrc, .env, .pypirc, etc.) peuvent \u00eatre exclus du r\u00e9f\u00e9rentiel Git via le fichier .gitignore, qui n'est pas pris en compte lors de la cr\u00e9ation du package. En particulier, 43 fichiers .pypirc contenant des identifiants d'acc\u00e8s \u00e0 PyPI ont \u00e9t\u00e9 trouv\u00e9s dans le r\u00e9f\u00e9rentiel. Dans 15 cas de fuite, les d\u00e9veloppeurs n'avaient pas l'intention de rendre publics des packages initialement cr\u00e9\u00e9s pour un usage interne, mais les ont publi\u00e9s sur PyPI par erreur. <\/p>\n

On peut \u00e9galement mentionner deux autres \u00e9v\u00e9nements li\u00e9s \u00e0 PyPI : <\/p>\n