{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"Il 46% dei pacchetti Python nel repository PyPI contiene codice potenzialmente non sicuro.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un gruppo di ricercatori dell'Universit\u00e0 di Turku (Finlandia) ha pubblicato i risultati di un'analisi dei pacchetti nel repository PyPI in relazione all'uso di strutture potenzialmente pericolose, capaci di generare vulnerabilit\u00e0. Durante l'analisi di 197 mila pacchetti sono stati identificati 749 mila problemi potenziali di sicurezza. Nel 46% dei pacchetti \u00e8 presente almeno un problema simile. Tra i problemi pi\u00f9 comuni ci sono le insufficienze relative alla gestione delle eccezioni e all'uso di costrutti che consentono l'inserimento di codice. <\/p>\n
\u00c8 importante notare che i risultati sono stati ottenuti attraverso un'analisi statica automatizzata, che non tiene conto del contesto di utilizzo di tali costrutti. Lo sviluppatore dello strumento bandit, utilizzato per eseguire la scansione del codice, ha espresso il parere che, a causa dell'alto numero di falsi positivi, i risultati della verifica non possano essere considerati vulnerabilit\u00e0 senza una successiva revisione manuale di ciascun problema. <\/p>\n
Ad esempio, l'analizzatore considera un problema di sicurezza l'uso di generatori di numeri casuali e algoritmi di hashing non sicuri, come MD5, mentre nel codice tali algoritmi possono essere utilizzati per scopi che non influiscono sulla sicurezza. L'analizzatore considera anche problematica qualsiasi elaborazione di dati esterni in funzioni non sicure, come pickle, yaml.load, subprocess ed eval, ma questo utilizzo non \u00e8 necessariamente associato alla creazione di vulnerabilit\u00e0 e, in effetti, l'uso di tali funzioni pu\u00f2 essere implementato senza rischi per la sicurezza. <\/p>\n
Tra i controlli utilizzati nello studio: <\/p>\n
\n
Uso di funzioni potenzialmente pericolose come exec, mktemp, eval, mark_safe, ecc.\n
Impostazioni di permessi insicure per i file.\n
Collegamento di un socket di rete a tutte le interfacce di rete.\n
Utilizzo di password e chiavi hardcodate nel codice.\n
Uso di una directory temporanea predefinita.\n
Utilizzo di pass e continue nei gestori di eccezioni in stile catch-all;\n
Esecuzione di web app basate sul framework web Flask con la modalit\u00e0 di debug attivata.\n
Utilizzo di metodi di deserializzazione dei dati non sicuri.\n
Utilizzo di funzioni hash MD2, MD4, MD5 e SHA1.\n
Utilizzo di algoritmi di cifratura non sicuri DES e modalit\u00e0 di cifratura.\n
Utilizzo di un'implementazione non sicura di HTTPSConnection in alcune versioni di Python.\n
Specifica dello schema file:\/\/ in urlopen.\n
Utilizzo di generatori di numeri pseudo-casuali per compiti crittografici.\n
Utilizzo del protocollo Telnet.\n
Utilizzo di parser XML non sicuri. <\/ul>\n
Inoltre, \u00e8 possibile notare la scoperta di 8 pacchetti dannosi nel repository PyPI. Prima della rimozione, i pacchetti problematici erano stati scaricati oltre 30.000 volte. Per nascondere attivit\u00e0 dannose e aggirare gli avvisi dei semplici analizzatori statici, nei pacchetti veniva utilizzata la codifica dei blocchi di codice con Base64 e l'esecuzione veniva organizzata dopo la decodifica tramite la chiamata a eval. <\/p>\n
Nei pacchetti noblesse, genesisbot, are, suffer, noblesse2 e noblessev2 \u00e8 stato scoperto un codice per intercettare i numeri di carta di credito e le password salvate nei browser Chrome ed Edge, oltre che per trasmettere token di account dall'app Discord e inviare dati di sistema, compresi screenshot del contenuto dello schermo. Nei pacchetti pytagora e pytagora2 era presente la possibilit\u00e0 di caricare ed eseguire codice eseguibile di terze parti. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"