दुर्भावनापूर्ण पैकेज mitmprxy2 और mitmprxy-iframe को PyPI निर्देशिका से हटा दिया गया है

HTTP/HTTPS ट्रैफ़िक का विश्लेषण करने के लिए एक उपकरण, मिटमप्रॉक्सी के लेखक ने पायथन पैकेजों की PyPI (पायथन पैकेज इंडेक्स) निर्देशिका में अपने प्रोजेक्ट के एक कांटे की उपस्थिति की ओर ध्यान आकर्षित किया। कांटा समान नाम mitmprxy2 और गैर-मौजूद संस्करण 8.0.1 (वर्तमान रिलीज mitmprxy 7.0.4) के तहत इस उम्मीद के साथ वितरित किया गया था कि असावधान उपयोगकर्ता पैकेज को मुख्य प्रोजेक्ट (टाइपस्क्वाटिंग) के नए संस्करण के रूप में देखेंगे और चाहेंगे नया संस्करण आज़माने के लिए.

इसकी संरचना में, mitmprxy2 दुर्भावनापूर्ण कार्यक्षमता के कार्यान्वयन के साथ परिवर्तनों के अपवाद के साथ, mitmprxy के समान था। परिवर्तनों में HTTP हेडर "एक्स-फ़्रेम-ऑप्शंस: DENY" को सेट करना बंद करना शामिल है, जो आईफ्रेम के अंदर सामग्री के प्रसंस्करण को प्रतिबंधित करता है, एक्सएसआरएफ हमलों के खिलाफ सुरक्षा को अक्षम करता है और हेडर "एक्सेस-कंट्रोल-अनुमति-उत्पत्ति: *" सेट करता है। "एक्सेस-कंट्रोल-अनुमति-शीर्षलेख: *" और "एक्सेस-कंट्रोल-अनुमति-तरीके: पोस्ट करें, प्राप्त करें, हटाएं, विकल्प"।

इन परिवर्तनों ने वेब इंटरफ़ेस के माध्यम से मिटमप्रॉक्सी को प्रबंधित करने के लिए उपयोग किए जाने वाले HTTP एपीआई तक पहुंच पर प्रतिबंध हटा दिया, जो उसी स्थानीय नेटवर्क पर स्थित किसी भी हमलावर को HTTP अनुरोध भेजकर उपयोगकर्ता के सिस्टम पर अपने कोड के निष्पादन को व्यवस्थित करने की अनुमति देता था।

निर्देशिका प्रशासन इस बात पर सहमत हुआ कि किए गए परिवर्तनों को दुर्भावनापूर्ण माना जा सकता है, और पैकेज को मुख्य परियोजना की आड़ में किसी अन्य उत्पाद को बढ़ावा देने के प्रयास के रूप में समझा जा सकता है (पैकेज के विवरण में कहा गया है कि यह मिटमप्रॉक्सी का एक नया संस्करण था, न कि कोई काँटा)। पैकेज को कैटलॉग से हटा दिए जाने के बाद, अगले दिन एक नया पैकेज, मिटमप्रॉक्सी-आईफ्रेम, PyPI पर पोस्ट किया गया, जिसका विवरण भी आधिकारिक पैकेज से पूरी तरह मेल खाता था। mitmprxy-iframe पैकेज को भी अब PyPI निर्देशिका से हटा दिया गया है।

स्रोत: opennet.ru