PyPI રિપોઝીટરીમાં Python પેકેજોના 46% સંભવિત અસુરક્ષિત કોડ ધરાવે છે

તુર્કુ યુનિવર્સિટી (ફિનલેન્ડ) ના સંશોધકોના જૂથે સંભવિત જોખમી બાંધકામોના ઉપયોગ માટે PyPI ભંડારમાં પેકેજોના વિશ્લેષણના પરિણામો પ્રકાશિત કર્યા છે જે નબળાઈઓ તરફ દોરી શકે છે. 197 હજાર પેકેજોના વિશ્લેષણ દરમિયાન, 749 હજાર સંભવિત સુરક્ષા સમસ્યાઓ ઓળખવામાં આવી હતી. 46% પેકેજોમાં ઓછામાં ઓછી એક આવી સમસ્યા છે. સૌથી સામાન્ય સમસ્યાઓમાં અપવાદ હેન્ડલિંગ અને કોડ રિપ્લેસમેન્ટની મંજૂરી આપતી સુવિધાઓનો ઉપયોગ સંબંધિત ખામીઓ છે.

ઓળખાયેલી 749 હજાર સમસ્યાઓમાંથી, 442 હજાર (41%) ને નાની, 227 હજાર (30%) ને મધ્યમ સમસ્યાઓ અને 80 હજાર (11%) ને ખતરનાક તરીકે લેબલ કરવામાં આવી હતી. કેટલાક પેકેજો ભીડમાંથી અલગ છે અને તેમાં હજારો સમસ્યાઓ છે: ઉદાહરણ તરીકે, PyGGI પેકેજે 2589 સમસ્યાઓ ઓળખી છે, જે મુખ્યત્વે "ટ્રાય-સિવાય-પાસ" કન્સ્ટ્રક્ટના ઉપયોગથી સંબંધિત છે, અને એપેન્જિન-sdk પેકેજમાં 2356 સમસ્યાઓ જોવા મળી છે. genie.libs.ops, pbcore અને genie.libs.parser પેકેજોમાં પણ મોટી સંખ્યામાં સમસ્યાઓ છે.

એ નોંધવું જોઈએ કે પરિણામો સ્વચાલિત સ્થિર વિશ્લેષણના આધારે મેળવવામાં આવ્યા હતા, જે ચોક્કસ માળખાના ઉપયોગના સંદર્ભને ધ્યાનમાં લેતા નથી. બેન્ડિટ ટૂલકીટના ડેવલપરે, જેનો ઉપયોગ કોડને સ્કેન કરવા માટે કરવામાં આવ્યો હતો, તેણે અભિપ્રાય વ્યક્ત કર્યો કે ખોટા સકારાત્મકની એકદમ મોટી સંખ્યાને કારણે, દરેક મુદ્દાની વધારાની મેન્યુઅલ સમીક્ષા વિના સ્કેન પરિણામોને સીધી નબળાઈઓ ગણી શકાય નહીં.

ઉદાહરણ તરીકે, વિશ્લેષક અવિશ્વસનીય રેન્ડમ નંબર જનરેટર અને MD5 જેવા હેશિંગ અલ્ગોરિધમના ઉપયોગને સુરક્ષા સમસ્યા માને છે, જ્યારે કોડમાં આવા અલ્ગોરિધમનો ઉપયોગ સુરક્ષાને અસર ન કરતા હેતુઓ માટે થઈ શકે છે. વિશ્લેષક અથાણાં, yaml.load, સબપ્રોસેસ અને ઇવેલ જેવા અસુરક્ષિત કાર્યોમાં બાહ્ય ડેટાની કોઈપણ પ્રક્રિયાને પણ સમસ્યા માને છે, પરંતુ આ ઉપયોગમાં કોઈ નબળાઈનો સમાવેશ થતો નથી અને હકીકતમાં આ કાર્યોનો ઉપયોગ સુરક્ષાના જોખમ વિના અમલમાં મૂકી શકાય છે. .

અભ્યાસમાં વપરાતા પરીક્ષણો પૈકી:

• સંભવિત રૂપે અસુરક્ષિત કાર્યોનો ઉપયોગ કરવો exec, mktemp, eval, mark_safe, વગેરે.
• ફાઇલો માટે ઍક્સેસ અધિકારોની અસુરક્ષિત સેટિંગ.
• બધા નેટવર્ક ઈન્ટરફેસ સાથે નેટવર્ક સોકેટને જોડવું.
• કોડમાં સખત રીતે ઉલ્લેખિત પાસવર્ડ્સ અને કીઓનો ઉપયોગ.
• પૂર્વવ્યાખ્યાયિત અસ્થાયી નિર્દેશિકાનો ઉપયોગ કરીને.
• કૅચ-ઑલ-સ્ટાઇલ અપવાદ હેન્ડલર્સમાં પાસ અને ચાલુ રાખો;
• ડીબગીંગ મોડ સક્ષમ સાથે ફ્લાસ્ક વેબ ફ્રેમવર્ક પર આધારિત વેબ એપ્લીકેશનો લોન્ચ કરી રહ્યા છીએ.
• અસુરક્ષિત ડેટા ડીસીરિયલાઈઝેશન પદ્ધતિઓનો ઉપયોગ.
• MD2, MD4, MD5 અને SHA1 હેશ ફંક્શનનો ઉપયોગ કરે છે.
• અસુરક્ષિત DES સાઇફર અને એન્ક્રિપ્શન મોડ્સનો ઉપયોગ.
• પાયથોનના કેટલાક સંસ્કરણોમાં અસુરક્ષિત HTTPS કનેક્શન અમલીકરણનો ઉપયોગ.
• urlopen માં file:// સ્કીમનો ઉલ્લેખ કરી રહ્યા છીએ.
• ક્રિપ્ટોગ્રાફિક કાર્યો કરતી વખતે સ્યુડોરેન્ડમ નંબર જનરેટરનો ઉપયોગ કરવો.
• ટેલનેટ પ્રોટોકોલનો ઉપયોગ કરીને.
• અસુરક્ષિત XML પાર્સર્સનો ઉપયોગ.

વધુમાં, એ નોંધી શકાય છે કે PyPI ડિરેક્ટરીમાં 8 દૂષિત પેકેજો મળી આવ્યા હતા. દૂર કરતા પહેલા, સમસ્યારૂપ પેકેજો 30 હજારથી વધુ વખત ડાઉનલોડ કરવામાં આવ્યા હતા. દૂષિત પ્રવૃત્તિને છુપાવવા અને પેકેજોમાં સાદા સ્ટેટિક વિશ્લેષકોની ચેતવણીઓને બાયપાસ કરવા માટે, બેઝ 64નો ઉપયોગ કરીને કોડ બ્લોક્સને એન્કોડ કરવામાં આવ્યા હતા અને eval કૉલનો ઉપયોગ કરીને ડીકોડિંગ પછી એક્ઝિક્યુટ કરવામાં આવ્યા હતા.

noblesse, genesisbot, are, pain, noblesse2 અને noblesev2 પેકેજો ક્રોમ અને એજ બ્રાઉઝર્સમાં સંગ્રહિત ક્રેડિટ કાર્ડ નંબર અને પાસવર્ડ્સને અટકાવવા માટે કોડ ધરાવે છે, તેમજ ડિસકોર્ડ એપ્લિકેશનમાંથી એકાઉન્ટ ટોકન્સ ટ્રાન્સફર કરે છે અને સ્ક્રીન સામગ્રીના સ્ક્રીનશૉટ્સ સહિત સિસ્ટમ ડેટા મોકલે છે. pytagora અને pytagora2 પેકેજોમાં તૃતીય-પક્ષ એક્ઝિક્યુટેબલ કોડને લોડ કરવાની અને ચલાવવાની ક્ષમતાનો સમાવેશ થાય છે.

સોર્સ: opennet.ru