PyPI રિપોઝીટરીએ કોડમાં બાકી રહેલા લગભગ 5000 રહસ્યો અને 8 દૂષિત અસ્પષ્ટતા જાહેર કરી

GitGuardian સંશોધકોએ PyPI (Python Package Index) રિપોઝીટરી Python પેકેજોમાં હોસ્ટ કરેલા કોડમાં વિકાસકર્તાઓ દ્વારા ભૂલી ગયેલા સંવેદનશીલ ડેટાના વિશ્લેષણના પરિણામો પ્રકાશિત કર્યા છે. 9.5 હજાર પ્રોજેક્ટ્સ સાથે સંકળાયેલી 5 મિલિયનથી વધુ ફાઇલો અને 450 મિલિયન પેકેજ રિલીઝનો અભ્યાસ કર્યા પછી, ગોપનીય ડેટા લીક થવાના 56866 કેસોની ઓળખ કરવામાં આવી હતી. જો આપણે વિવિધ પ્રકાશનોમાં ડુપ્લિકેશન વિના ફક્ત અનન્ય ડેટાને ધ્યાનમાં લઈએ, તો ઓળખાયેલ લીકની સંખ્યા 3938 હતી, અને ઓછામાં ઓછા એક લીકવાળા પ્રોજેક્ટ્સની સંખ્યા 2922 હતી.

કુલ મળીને, સામાન્ય પાસવર્ડ્સ, ક્રિપ્ટોગ્રાફિક કીઝ, ક્લાઉડ સેવાઓ માટે એક્સેસ ટોકન્સ, સતત એકીકરણ સિસ્ટમ્સ અને API સહિત 150 થી વધુ પ્રકારની ગોપનીય માહિતી લીકની ઓળખ કરવામાં આવી છે. અભ્યાસ સમયે ઓછામાં ઓછા 768 ઓળખપત્રો સક્રિય રહ્યા હતા. લોકપ્રિય લીક્સના ઉદાહરણો જે સુસંગત રહે છે તેમાં Azure Active Directory માટે એક્સેસ કી, SSH, MongoDB, MySQL અને PostgreSQL માટે ઓળખપત્ર, GitHub OAuth એપ, ડ્રૉપબૉક્સ અને Auth0 માટેની કીઓ, Coinbase અને Twilio માટે લૉગિન પેરામીટર્સનો સમાવેશ થાય છે.

લિકના પ્રકારો કે જે લોકપ્રિયતા મેળવી રહ્યા છે તેમાં ટેલિગ્રામમાં બૉટોની ઍક્સેસ માટેના ટોકન્સ છે, જેની સંખ્યા 2021ની શરૂઆતમાં બમણી થઈ અને પછી 2023ની વસંતઋતુમાં ફરી બમણી થઈ. 2020 થી Google API ની ઍક્સેસ કી માટે અને 2022 થી DBMS ના ઓળખપત્રો માટે લીક્સમાં સતત વધારો નોંધવામાં આવ્યો છે. લીક્સની સંખ્યામાં અગ્રણી પેકેજોમાં, chatllm અને safire પેકેજોનો ઉલ્લેખ કરવામાં આવ્યો છે, જેમાં OpenAIની 209 કી અને Google Cloudની 320 કી ભૂલી ગઈ હતી.

ફાઇલ પ્રકારો જેમાં સૌથી વધુ સંખ્યામાં લીક્સ ઓળખવામાં આવ્યા હતા, તેમાં “.py” એક્સ્ટેંશન ધરાવતી ફાઇલો ઉપરાંત, એક્સ્ટેંશન .json (610 લીક્સ), .md (270), PKG-INFO (240) ધરાવતી ફાઇલો છે. ), મેટાડેટા (210), . txt (170), તેમજ README ફાઇલો (209) અને ટેસ્ટ (675) નામની ડિરેક્ટરીઓમાંથી ફાઇલો. પેકેજો જનરેટ કરતી વખતે ફાઇલોને બાકાત રાખવાની ગોઠવણમાં દેખરેખ અને ભૂલોને કારણે પણ ઘણા લીક થાય છે. ઉદાહરણ તરીકે, સ્થાનિક રૂપરેખાંકન ફાઇલો (.cookiecutterrc, .env, .pypirc, વગેરે) ધરાવતી ફાઇલોને ".gitignore" ફાઇલ દ્વારા Git રિપોઝીટરીમાંથી બાકાત કરી શકાય છે, જે પેકેજ બનાવતી વખતે ધ્યાનમાં લેવામાં આવતી નથી. ખાસ કરીને, 43 .pypirc ફાઇલો રીપોઝીટરીમાં મળી આવી હતી જેમાં PyPI ઍક્સેસ કરવા માટે ઓળખપત્રો છે. 15 લીક્સમાં, વિકાસકર્તાઓએ મૂળરૂપે આંતરિક ઉપયોગ માટે બનાવેલા પેકેજોને સાર્વજનિક રૂપે રિલીઝ કરવાનો ઈરાદો નહોતો, પરંતુ ભૂલથી તેને PyPI પર પ્રકાશિત કર્યો હતો.

વધુમાં, PyPI સંબંધિત વધુ બે ઘટનાઓનો ઉલ્લેખ કરી શકાય છે:

• PyPI રિપોઝીટરીમાં, 8 દૂષિત પેકેજો ઓળખવામાં આવ્યા હતા, જે અસ્પષ્ટતા માટે ઉપયોગિતાઓ તરીકે રજૂ કરવામાં આવ્યા હતા, એટલે કે. કોડને વાંચી ન શકાય તેવા સ્વરૂપમાં ઘટાડીને, અલ્ગોરિધમના પુનઃસંગ્રહને જટિલ બનાવે છે. ઓળખાયેલ પેકેજો તેમના નામોમાં "pyobf" શબ્દમાળા ધરાવે છે (Pyobftoexe, Pyobfusfile, Pyobfexecute, Pyobfpremium, Pyobflight, Pyobfadvance, Pyobfuse અને pyobfgood) અને 2000 થી વધુ વખત ડાઉનલોડ કરવામાં આવ્યા હતા.

  પેકેજોમાં સંકલિત દૂષિત કોડ પ્લેટફોર્મ-વિશિષ્ટ હતો Windows અને બાહ્ય નિયંત્રણ સાથે જોડાણની મંજૂરી આપી સર્વર, ડેવલપરના કમ્પ્યુટર પર મનસ્વી આદેશો ચલાવો, એક્સેસ કી જેવી સંવેદનશીલ માહિતી શોધો અને બાહ્ય સર્વર પર મોકલો, અને સિસ્ટમમાંથી મનસ્વી ફાઇલો ટ્રાન્સફર કરો. વધુમાં, દૂષિત કોડ કીલોગર તરીકે કાર્ય કરી શકે છે, ક્રોમમાં દાખલ કરેલા પાસવર્ડ્સને અટકાવી શકે છે, સ્ક્રીનશોટ બનાવી શકે છે, ઓડિયો રેકોર્ડ કરી શકે છે અને વેબકેમને પણ નિયંત્રિત કરી શકે છે.

• pypi.org રીપોઝીટરી અને કન્ટેનર ઓર્કેસ્ટ્રેશન ઈન્ફ્રાસ્ટ્રક્ચરમાં વપરાતા કેબોટેજ ફ્રેમવર્કના કાર્યને ગોઠવવા માટે ઉપયોગમાં લેવાતા સાધનોના કોડ બેઝના સ્વતંત્ર ઓડિટના પરિણામો પ્રકાશિત કરવામાં આવ્યા છે. આ ઓડિટ બિન-લાભકારી સંસ્થા OTF (ઓપન ટેકનોલોજી ફંડ) ના સમર્થનથી હાથ ધરવામાં આવ્યું હતું. ઓડિટ દરમિયાન, ઉચ્ચ સ્તરના જોખમ સાથે કોઈ સમસ્યા ઓળખી કાઢવામાં આવી ન હતી, અને સ્ત્રોત કોડને સલામત કોડિંગ માટેની મૂળભૂત આવશ્યકતાઓને પૂર્ણ કરતા તરીકે ઓળખવામાં આવ્યા હતા. તે જ સમયે, કેબોટેજ કોડબેઝના અપર્યાપ્ત પરીક્ષણ કવરેજની નોંધ લેવામાં આવી હતી અને 29 સમસ્યાઓ ઓળખવામાં આવી હતી, જેમાંથી આઠને જોખમનું મધ્યમ સ્તર, 6 - નીચું અને 14ને માહિતીપ્રદ ટિપ્પણીઓ તરીકે ચિહ્નિત કરવામાં આવી હતી.

  સૌથી નોંધપાત્ર સમસ્યાઓ:

  • AWS SNS સાથે PyPI ને એકીકૃત કરવા માટે ઉપયોગમાં લેવાતા ડિજિટલ હસ્તાક્ષરોની અપૂરતી ચકાસણી વ્યક્તિગત વપરાશકર્તાઓના ઇમેઇલ્સ પર સૂચનાઓ મોકલવાની મંજૂરી આપે છે.
  • ડાઉનલોડ હેન્ડલરમાં માહિતી લીક કે જે તમને લોગિન પ્રયાસો વિશે ઇવેન્ટ્સ જનરેટ કર્યા વિના એકાઉન્ટનું અસ્તિત્વ નક્કી કરવાની મંજૂરી આપે છે.
  • અવિશ્વસનીય ક્રિપ્ટોગ્રાફિક હેશનો ઉપયોગ જે કેશ ઝેરના હુમલાને બાકાત રાખતા નથી.
  • જો તમારી પાસે કેબોટેજ દ્વારા બિલ્ડ પ્રક્રિયાઓ શરૂ કરવાનો અધિકાર છે, તો હુમલાખોર સંભવિતપણે તેના આદેશોને બદલી શકે છે.
  • કાબોટેજમાં જમાવટના અધિકારો સાથે, હુમલાખોર સંભવિતપણે કાયદેસર દેખાતી છબીને જમાવી શકે છે.

સોર્સ: opennet.ru