Python પ્રોજેક્ટ GitHub રિપોઝીટરીઝની સંપૂર્ણ ઍક્સેસ માટે લીક ટોકન

JFrog ના સંશોધકોએ "cabotage-app" ડોકર ઈમેજમાં એક ટોકન શોધી કાઢ્યું જે GitHub પર Python, PyPI અને Python Software Foundation રિપોઝીટરીઝમાં એડમિનિસ્ટ્રેટરની ઍક્સેસ આપે છે. આ ટોકન બાઈનરી ફાઇલ "__pycache__/build.cpython-311.pyc" માં મળી આવ્યું હતું જેમાં કેશ્ડ કમ્પાઈલ કરેલ બાયટેકોડ હતો.

PyPI રિપોઝીટરીના પ્રતિનિધિઓના જણાવ્યા અનુસાર, ટોકન 2023 માં ડેવલપર ewdurbin (Ee Durbin) માટે બનાવવામાં આવ્યું હતું, જે Python Software Foundation માં ઇન્ફ્રાસ્ટ્રક્ચર ડિરેક્ટર તરીકે સેવા આપે છે. ટોકન દ્વારા pypi, python, psf અને pypa સંસ્થાઓના તમામ રિપોઝીટરીઓ સહિત તમામ પ્રોજેક્ટ રિપોઝીટરીઓ અને સંસ્થાઓને એડમિનિસ્ટ્રેટરની ઍક્સેસ આપવામાં આવી હતી. ટોકન ધરાવતી સમસ્યારૂપ ડોકર છબી 3 માર્ચ, 2023 ના રોજ ડોકર હબ પર પ્રકાશિત કરવામાં આવી હતી અને 16 મહિનાની જાહેર ઍક્સેસ પછી 11 જૂન, 2024 ના રોજ દૂર કરવામાં આવી હતી. ટોકન 28 જૂને રદ કરવામાં આવ્યું હતું.

નોંધપાત્ર રીતે, જે ઉપલબ્ધ સોર્સ કોડમાંથી સમસ્યારૂપ બાયટેકોડ ફાઇલ જનરેટ કરવામાં આવી હતી તેમાં ટોકનનો કોઈ ઉલ્લેખ નથી. કોડના લેખકે સમજાવ્યું કે તેમના સ્થાનિક સિસ્ટમ પર cabotage-app5 ટૂલકીટ વિકસાવતી વખતે, તેમને ઓટોમેટેડ ફાઇલ ડાઉનલોડ ફંક્શન ચલાવતી વખતે GitHub API ઍક્સેસ પર મર્યાદાઓનો સામનો કરવો પડ્યો. અનામી GitHub વિનંતીઓ પર લાદવામાં આવેલી મર્યાદાઓને ટાળવા માટે, તેમણે અસ્થાયી રૂપે કોડમાં પોતાનું કાર્યકારી ટોકન ઉમેર્યું. કોડ પ્રકાશિત કરતા પહેલા ટોકન દૂર કરવામાં આવ્યું હતું, પરંતુ ડેવલપર એ સમજવામાં નિષ્ફળ ગયો કે ટોકન સંદર્ભ પ્રી-કમ્પાઇલ્ડ બાયટેકોડ ફાઇલમાં કેશ કરવામાં આવ્યો હતો, જે પછી ડોકર છબીમાં સમાવવામાં આવ્યો હતો. def _fetch_github_file( — github_repository=”માલિક/રેપો”, ref=”મુખ્ય”, access_token=કંઈ નહીં, filename=”Dockerfile” + github_repository=”માલિક/રેપો”, + ref=”મુખ્ય”, + access_token=”0d6a9bb5af126f73350a2afc058492765446aaad”, + filename=”Dockerfile”, ):

પાયથોન ડેવલપર્સ દ્વારા હાથ ધરવામાં આવેલા GitHub રિપોઝીટરી પ્રવૃત્તિના ઓડિટમાં ચેડા થયેલા ટોકનનો ઉપયોગ કરીને કોઈ તૃતીય-પક્ષ ઍક્સેસ પ્રયાસો થયા નથી તે બહાર આવ્યું છે. 2017 થી GitHub CPython ડેવલપમેન્ટ માટે પ્રાથમિક પ્લેટફોર્મ હોવાથી, ટોકનનો ઍક્સેસ મેળવનાર હુમલાખોર Python ડેવલપમેન્ટ અને PyPI રિપોઝીટરી માટે ઉપયોગમાં લેવાતા ઇન્ફ્રાસ્ટ્રક્ચર સાથે સંપૂર્ણ સમાધાન કરી શકે છે, જે સંભવિત રીતે CPython અને PyPI પેકેજ મેનેજરમાં બેકડોરને એકીકૃત કરવાના પ્રયાસોને સક્ષમ બનાવે છે.

આ ઘટના ફક્ત સોર્સ કોડ, રૂપરેખાંકન ફાઇલો અને પર્યાવરણ ચલોમાં જ નહીં, પણ બાઈનરી ફાઇલોમાં પણ લીકનું વિશ્લેષણ કરવાનું મહત્વ દર્શાવે છે. પાયથોનના સંદર્ભમાં, વપરાશકર્તાઓને ડાઉનલોડ કરેલા પ્રોજેક્ટ્સમાં કમ્પાઇલ કરેલા બાયટેકોડ સાથે .pyc ફાઇલોની હાજરી પર ધ્યાન આપવાની પણ સલાહ આપવામાં આવે છે, કારણ કે આ ફાઇલોમાં સોર્સ કોડમાં હાજર ન હોય તેવા છુપાયેલા ફેરફારો હોઈ શકે છે.

સોર્સ: opennet.ru