{"id":117354,"date":"2024-07-12T09:43:01","date_gmt":"2024-07-12T07:43:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python"},"modified":"2024-07-12T09:43:01","modified_gmt":"2024-07-12T07:43:01","slug":"utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","title":{"rendered":"Fuite d'un token d'acc\u00e8s complet aux d\u00e9p\u00f4ts GitHub du projet Python","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Des chercheurs de JFrog ont d\u00e9couvert dans l'image Docker \u00ab cabotage-app \u00bb un jeton donnant un acc\u00e8s administrateur aux d\u00e9p\u00f4ts Python, PyPI et Python Software Foundation sur GitHub. Le jeton a \u00e9t\u00e9 trouv\u00e9 dans le fichier binaire \u00ab __pycache__\/build.cpython-311.pyc \u00bb contenant du bytecode compil\u00e9 mis en cache.
<\/center> <\/p>\n
Selon les repr\u00e9sentants du d\u00e9p\u00f4t PyPI, le jeton a \u00e9t\u00e9 cr\u00e9\u00e9 en 2023 pour le d\u00e9veloppeur ewdurbin (Ee Durbin), qui occupe le poste de directeur de l'infrastructure au sein de l'organisation Python Software Foundation. Ce jeton offrait un acc\u00e8s administrateur \u00e0 tous les d\u00e9p\u00f4ts et organisations du projet, incluant tous les d\u00e9p\u00f4ts des organisations pypi, python, psf et pypa. L'image Docker probl\u00e9matique contenant le jeton a \u00e9t\u00e9 publi\u00e9e dans le r\u00e9pertoire Docker Hub le 3 mars 2023 et a \u00e9t\u00e9 retir\u00e9e le 11 juin 2024, soit 16 mois d'acc\u00e8s public. Le 28 juin, le jeton a \u00e9t\u00e9 r\u00e9voqu\u00e9. <\/p>\n
Il est remarquable que dans les codes sources disponibles, sur la base desquels le fichier probl\u00e9matique avec le bytecode a \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9, il n'y a aucune mention du jeton. L'auteur du code a expliqu\u00e9 que lors du d\u00e9veloppement de l'outil cabotage-app5 sur son syst\u00e8me local, il a rencontr\u00e9 des limitations sur l'intensit\u00e9 d'acc\u00e8s \u00e0 l'API de GitHub lors de la r\u00e9alisation de la fonction de t\u00e9l\u00e9chargement automatis\u00e9 de fichiers depuis GitHub, et pour contourner les limites impos\u00e9es pour les requ\u00eates anonymes \u00e0 GitHub, il a temporairement ajout\u00e9 son jeton de travail dans le code. Avant la publication du code \u00e9crit, le jeton a \u00e9t\u00e9 supprim\u00e9, mais le d\u00e9veloppeur n'a pas pris en compte que la mention du jeton avait \u00e9t\u00e9 mise en cache dans le fichier pr\u00e9compil\u00e9 contenant le bytecode, qui a ensuite \u00e9t\u00e9 inclus dans l'image docker. \n def _fetch_github_file( \n github_repository=\u2019owner\/repo\u2019, ref=\u2019main\u2019, access_token=None, filename=\u2019Dockerfile\u2019 \n + github_repository=\u2019owner\/repo\u2019, \n + ref=\u2019main\u2019, \n + access_token=\u20190d6a9bb5af126f73350a2afc058492765446aaad\u2019, \n + filename=\u2019Dockerfile\u2019, \n ): <\/p>\n
L'audit de l'activit\u00e9 dans les d\u00e9p\u00f4ts GitHub, r\u00e9alis\u00e9 par les d\u00e9veloppeurs de Python, n'a r\u00e9v\u00e9l\u00e9 aucune tentative d'acc\u00e8s non autoris\u00e9 utilisant le jeton divulgu\u00e9. \u00c9tant donn\u00e9 que GitHub est la principale plateforme pour le d\u00e9veloppement de CPython depuis 2017, une compromission du jeton par un attaquant aurait pu entra\u00eener une compromission totale de l'infrastructure utilis\u00e9e pour le d\u00e9veloppement de Python et du d\u00e9p\u00f4t PyPI, ainsi que des tentatives d'int\u00e9gration de portes d\u00e9rob\u00e9es dans CPython et le gestionnaire de paquets PyPI. <\/p>\n
L'incident souligne l'importance d'analyser les fuites non seulement dans le code source, les fichiers de configuration et les variables d'environnement, mais aussi dans les fichiers binaires. Dans le contexte de Python, il est \u00e9galement recommand\u00e9 aux utilisateurs d'\u00eatre attentifs \u00e0 la pr\u00e9sence de fichiers pyc contenant du code byte compil\u00e9 dans les projets t\u00e9l\u00e9charg\u00e9s, car ces fichiers peuvent contenir des modifications cach\u00e9es absentes dans le code source. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Fuite](\"\/wp-content\/uploads\/2024\/07\/995cd4986ccb553d612c78345dfec4ad.png\")
<\/center> <\/p>\n