Tharraing ùghdar mitmproxy, inneal airson mion-sgrùdadh trafaic HTTP / HTTPS, aire gu coltas forc den phròiseact aige anns an eòlaire PyPI (Python Package Index) de phasganan Python. Chaidh am forc a sgaoileadh fon aon ainm mitmproxy2 agus an dreach nach eil ann 8.0.1 (sgaoilidh gnàthach mitmproxy 7.0.4) le dùil gum biodh luchd-cleachdaidh neo-aireach a’ faicinn a ’phacaid mar eagran ùr den phrìomh phròiseact (typesquatting) agus gum biodh iad ag iarraidh gus an tionndadh ùr fheuchainn.
Anns an sgrìobhadh aige, bha mitmproxy2 coltach ri mitmproxy, ach a-mhàin atharrachaidhean le buileachadh gnìomh droch-rùnach. Bha na h-atharrachaidhean a’ toirt a-steach stad a chuir air a bhith a ’suidheachadh bann-cinn HTTP“ X-Frame-Options: DENY ”, a tha a’ toirmeasg giullachd susbaint taobh a-staigh an iframe, a ’dì-chomasachadh dìon an aghaidh ionnsaighean XSRF agus a’ suidheachadh na cinn “Access-Control-Allow-Origin: *”, “Smachd-slighe - Cinn-ceadaich: *” agus “Modhan-smachd-slighe-ceadaich: POST, FAIGHINN, Sguab às, Roghainnean".
Thug na h-atharrachaidhean sin air falbh cuingealachaidhean air ruigsinneachd don API HTTP a chaidh a chleachdadh gus mitmproxy a riaghladh tron eadar-aghaidh lìn, a leig le neach-ionnsaigh sam bith a bha suidhichte air an aon lìonra ionadail cur an gnìomh a ’chòd aca air siostam an neach-cleachdaidh le bhith a’ cur iarrtas HTTP.
Dh’ aontaich rianachd an eòlaire gum faodadh na h-atharrachaidhean a chaidh a dhèanamh a bhith air am mìneachadh mar droch-rùnach, agus am pasgan fhèin mar oidhirp air toradh eile adhartachadh fo stiùir a’ phrìomh phròiseact (thuirt an tuairisgeul air a’ phacaid gur e dreach ùr de mitmproxy a bha seo, chan e a forc). Às deidh dhaibh am pasgan a thoirt air falbh bhon chatalog, an ath latha chaidh pasgan ùr, mitmproxy-iframe, a phostadh gu PyPI, agus bha an tuairisgeul air a bhith gu tur a rèir a’ phacaid oifigeil. Tha am pasgan mitmproxy-iframe a-nis air a thoirt air falbh bhon eòlaire PyPI.
Source: fosgailtenet.ru