A kutat\u00f3i csoport a Turkui Egyetemt\u0151l (Finnorsz\u00e1g) k\u00f6zz\u00e9tette a PyPI adatt\u00e1rban tal\u00e1lhat\u00f3 csomagok potenci\u00e1lisan vesz\u00e9lyes konstrukci\u00f3k haszn\u00e1lat\u00e1nak elemz\u00e9s\u00e9nek eredm\u00e9nyeit, amelyek sebezhet\u0151s\u00e9gek megjelen\u00e9s\u00e9hez vezethetnek. Az elemz\u00e9s sor\u00e1n 197 ezer csomagban 749 ezer potenci\u00e1lis biztons\u00e1gi probl\u00e9m\u00e1t azonos\u00edtottak. A csomagok 46%-\u00e1ban legal\u00e1bb egy ilyen probl\u00e9ma tal\u00e1lhat\u00f3. A leggyakrabban el\u0151fordul\u00f3 probl\u00e9m\u00e1k k\u00f6z\u00e9 tartoznak a kiv\u00e9telek kezel\u00e9s\u00e9vel \u00e9s a k\u00f3d besz\u00far\u00e1s\u00e1ra lehet\u0151s\u00e9get ad\u00f3 megold\u00e1sokkal kapcsolatos hi\u00e1nyoss\u00e1gok. <\/p>\n
A 749 ezer azonos\u00edtott probl\u00e9ma k\u00f6z\u00fcl 442 ezer (41%) jelent\u00e9ktelennek, 227 ezer (30%) m\u00e9rs\u00e9kelt kock\u00e1zat\u00fanak, m\u00edg 80 ezer (11%) vesz\u00e9lyesnek min\u0151s\u00fcl. Egyes csomagok kiemelkednek a t\u00f6megb\u0151l, \u00e9s t\u00f6bb ezer probl\u00e9m\u00e1t tartalmaznak: p\u00e9ld\u00e1ul a PyGGI csomagban 2589 probl\u00e9m\u00e1t azonos\u00edtottak, f\u0151k\u00e9nt a \u201etry-except-pass\u201d konstrukci\u00f3 alkalmaz\u00e1sa miatt, m\u00edg az appengine-sdk csomagban 2356 probl\u00e9m\u00e1t tal\u00e1ltak. Nagy sz\u00e1m\u00fa probl\u00e9ma tal\u00e1lhat\u00f3 a genie.libs.ops, pbcore \u00e9s genie.libs.parser csomagokban is. <\/p>\n
Fontos megeml\u00edteni, hogy az eredm\u00e9nyek automatiz\u00e1lt statikus elemz\u00e9s alapj\u00e1n k\u00e9sz\u00fcltek, amely nem veszi figyelembe a k\u00fcl\u00f6nb\u00f6z\u0151 konstrukci\u00f3k alkalmaz\u00e1s\u00e1nak kontextus\u00e1t. A bandit nev\u0171 eszk\u00f6z fejleszt\u0151je, amelyet a k\u00f3d beolvas\u00e1s\u00e1ra haszn\u00e1ltak, v\u00e9lem\u00e9nyt nyilv\u00e1n\u00edtott, hogy a viszonylag magas hamis pozit\u00edv ar\u00e1ny miatt az ellen\u0151rz\u00e9si eredm\u00e9nyeket nem lehet k\u00f6zvetlen\u00fcl sebezhet\u0151s\u00e9gekk\u00e9nt \u00e9rtelmezni an\u00e9lk\u00fcl, hogy minden probl\u00e9ma tov\u00e1bbi manu\u00e1lis fel\u00fclvizsg\u00e1laton ne menne kereszt\u00fcl. <\/p>\n
P\u00e9ld\u00e1ul az elemz\u0151 biztons\u00e1gi probl\u00e9m\u00e1nak tekinti a megb\u00edzhatatlan v\u00e9letlensz\u00e1m-gener\u00e1torok \u00e9s hash-algoritmusok, p\u00e9ld\u00e1ul az MD5 alkalmaz\u00e1s\u00e1t, mik\u00f6zben a k\u00f3dban az ilyen algoritmusok biztons\u00e1got nem befoly\u00e1sol\u00f3 c\u00e9lokra is haszn\u00e1lhat\u00f3k. Az elemz\u0151 tov\u00e1bb\u00e1 probl\u00e9m\u00e1nak tekinti a k\u00fcls\u0151 adatok biztons\u00e1gtalan funkci\u00f3kban, mint p\u00e9ld\u00e1ul a pickle, yaml.load, subprocess \u00e9s eval t\u00f6rt\u00e9n\u0151 kezel\u00e9s\u00e9t, de ez a haszn\u00e1lat nem felt\u00e9tlen\u00fcl kapcsol\u00f3dik sebezhet\u0151s\u00e9ghez, \u00e9s az adott funkci\u00f3k alkalmaz\u00e1sa val\u00f3j\u00e1ban megval\u00f3s\u00edthat\u00f3 biztons\u00e1gi fenyeget\u00e9s n\u00e9lk\u00fcl. <\/p>\n
A kutat\u00e1sban haszn\u00e1lt ellen\u0151rz\u00e9sek k\u00f6z\u00e9 tartozik: <\/p>\n
\n
Potenci\u00e1lisan nem biztons\u00e1gos funkci\u00f3k, mint az exec, mktemp, eval, mark_safe stb. haszn\u00e1lata.\n
Nem biztons\u00e1gos f\u00e1jlhozz\u00e1f\u00e9r\u00e9si jogok be\u00e1ll\u00edt\u00e1sa.\n
H\u00e1l\u00f3zati aljzat csatlakoztat\u00e1sa minden h\u00e1l\u00f3zati interf\u00e9szhez.\n
A k\u00f3dban kem\u00e9nyen megadott jelszavak \u00e9s kulcsok haszn\u00e1lata.\n
El\u0151re meghat\u00e1rozott ideiglenes k\u00f6nyvt\u00e1r haszn\u00e1lata.\n
A pass \u00e9s continue haszn\u00e1lata az \u00f6sszes kiv\u00e9telt kezel\u0151 catch-all st\u00edlus\u00fa kezel\u0151kben;\n
A biztons\u00e1gtalan DES titkos\u00edt\u00f3 algoritmusok \u00e9s titkos\u00edt\u00e1si m\u00f3dok haszn\u00e1lata.\n
Biztons\u00e1gtalan HTTPSConnection megval\u00f3s\u00edt\u00e1s bizonyos Python verzi\u00f3kban.\n
file:\/\/ s\u00e9ma megad\u00e1sa az urlopen-ban.\n
Pszeudo-v\u00e9letlen sz\u00e1m gener\u00e1torok haszn\u00e1lata a kriptogr\u00e1fiai feladatok v\u00e9grehajt\u00e1sakor.\n
Telnet protokoll haszn\u00e1lata.\n
Biztons\u00e1gtalan XML elemz\u0151k haszn\u00e1lata. <\/ul>\n
Tov\u00e1bb\u00e1 megjegyzetik, hogy 8 rosszindulat\u00fa csomagot fedeztek fel a PyPI k\u00f6nyvt\u00e1rban. A probl\u00e9m\u00e1s csomagok t\u00f6bb mint 30 ezerszer let\u00f6lt\u00e9sre ker\u00fcltek, miel\u0151tt t\u00f6r\u00f6lt\u00e9k volna \u0151ket. A rosszindulat\u00fa tev\u00e9kenys\u00e9g elrejt\u00e9s\u00e9re \u00e9s az egyszer\u0171 statikus elemz\u0151k figyelmeztet\u00e9seinek kij\u00e1tsz\u00e1s\u00e1ra Base64 k\u00f3dol\u00e1st alkalmaztak a k\u00f3dr\u00e9szletek blokkol\u00e1s\u00e1ra \u00e9s a dek\u00f3dol\u00e1s ut\u00e1ni v\u00e9grehajt\u00e1sra eval h\u00edv\u00e1s r\u00e9v\u00e9n. <\/p>\n
A noblesse, genesisbot, are, suffer, noblesse2 \u00e9s noblessev2 csomagokban olyan k\u00f3dot tal\u00e1ltak, amely a Chrome \u00e9s Edge b\u00f6ng\u00e9sz\u0151kben t\u00e1rolt hitelk\u00e1rtya sz\u00e1mok \u00e9s jelszavak elkobz\u00e1s\u00e1ra, valamint a Discord alkalmaz\u00e1sb\u00f3l sz\u00e1rmaz\u00f3 account tokenek tov\u00e1bb\u00edt\u00e1s\u00e1ra, \u00e9s rendszeradatok, p\u00e9ld\u00e1ul a k\u00e9perny\u0151 tartalm\u00e1nak k\u00e9perny\u0151k\u00e9peinek k\u00fcld\u00e9s\u00e9re szolg\u00e1l. A pytagora \u00e9s pytagora2 csomagokban lehet\u0151s\u00e9g volt k\u00fcls\u0151 v\u00e9grehajthat\u00f3 k\u00f3d let\u00f6lt\u00e9s\u00e9re \u00e9s v\u00e9grehajt\u00e1s\u00e1ra is. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"