A mitmproxy, az HTTP/HTTPS forgalomelemző eszköz szerzője észrevette, hogy a Python csomagok PyPI (Python Package Index) katalógusában megjelent a projektjének egy forkja. A fork hasonló néven, mitmproxy2 alatt terjedt, és egy nem létező 8.0.1-es verzióval (a mitmproxy aktuális kiadása a 7.0.4) a célja az volt, hogy a figyelmetlen felhasználók új verzióként tekintsék a csomagra (type squatting) és ki akarják próbálni azt.
Összetételét tekintve a mitmproxy2 hasonló volt a mitmproxy-hoz, azzal a kivétellel, hogy változásokat eszközölt a kártékony funkcionalitás megvalósításában. A változások lényege az volt, hogy megszüntették az «X-Frame-Options: DENY» HTTP fejlécet, amely megtiltja a tartalom iframe-en belüli feldolgozását, kikapcsolták az XSRF támadások elleni védelmet, illetve beállították a «Access-Control-Allow-Origin: *», «Access-Control-Allow-Headers: *» és «Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS» fejlécet.
A fent említett változások megszüntették az hozzáférési korlátozásokat a mitmproxy Web-értékén keresztül történő kezelésére használt HTTP API-n, lehetővé téve ezzel, hogy bármely támadó, aki ugyanabban a helyi hálózatban tartózkodik, HTTP kérés küldésével végrehajthassa saját kódját a felhasználói rendszeren.
A katalógus adminisztrációja egyetértett azzal, hogy a végrehajtott változásokat kártékonyként lehet értelmezni, míg magát a csomagot is egy másik termék népszerűsítésére tett kísérletként tartotta számon a fő projekt álcázásával (a csomag leírásában azt állították, hogy ez a mitmproxy új verziója, nem pedig fork). A csomag eltávolítása után a következő napon a PyPI-n közzétették a mitmproxy-iframe új csomagot, amelynek leírása teljesen megegyezett az eredeti csomaggal. Jelenleg a mitmproxy-iframe csomag is eltávolításra került a PyPI katalógusból.
Forrás: opennet.ru
