{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"Il 46% dei pacchetti Python nel repository PyPI contiene codice potenzialmente non sicuro","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un gruppo di ricercatori dell'Universit\u00e0 di Turku (Finlandia) ha pubblicato i risultati di un'analisi dei pacchetti nel repository PyPI per identificare l'uso di costrutti potenzialmente pericolosi che potrebbero portare a vulnerabilit\u00e0. Durante l'analisi di 197 mila pacchetti sono stati riscontrati 749 mila potenziali problemi di sicurezza. Nel 46% dei pacchetti \u00e8 presente almeno un problema di questo tipo. Tra i problemi pi\u00f9 comuni ci sono le lacune relative alla gestione delle eccezioni e all'uso di funzionalit\u00e0 che consentono l'inserimento di codice. <\/p>\n
Delle 749 mila problematiche riscontrate, 442 mila (41%) sono state etichettate come minori, 227 mila (30%) come problemi di media pericolosit\u00e0 e 80 mila (11%) come critici. Alcuni pacchetti si distinguono e contengono migliaia di problematiche: ad esempio, il pacchetto PyGGI ha mostrato 2589 problematiche, principalmente legate all'uso della costruzione \u00abtry-except-pass\u00bb, mentre nel pacchetto appengine-sdk sono state trovate 2356 problematiche. Un elevato numero di problematiche \u00e8 presente anche nei pacchetti genie.libs.ops, pbcore e genie.libs.parser. <\/p>\n
\u00c8 importante notare che i risultati sono stati ottenuti attraverso un'analisi statica automatizzata, che non tiene conto del contesto di applicazione di determinate costruzioni. Lo sviluppatore dello strumento bandit, utilizzato per la scansione del codice, ha espresso l'opinione che, a causa del numero relativamente elevato di falsi positivi, i risultati della verifica non possano essere considerati vulnerabilit\u00e0 senza un'ulteriore revisione manuale di ciascun problema. <\/p>\n
Ad esempio, l'analizzatore considera un problema di sicurezza l'uso di generatori di numeri casuali e algoritmi di hashing non sicuri, come MD5, mentre nel codice tali algoritmi possono essere utilizzati per scopi non legati alla sicurezza. L'analizzatore considera anche un problema qualsiasi elaborazione di dati esterni in funzioni non sicure, come pickle, yaml.load, subprocess ed eval, ma questo utilizzo non implica necessariamente la comparsa di vulnerabilit\u00e0 e, in pratica, l'uso delle funzioni indicate pu\u00f2 essere realizzato senza minaccia alla sicurezza. <\/p>\n
Tra i controlli utilizzati nello studio: <\/p>\n
\n
Utilizzo di funzioni potenzialmente insicure come exec, mktemp, eval, mark_safe, ecc.\n
Impostazione non sicura dei permessi di accesso ai file.\n
Collegamento di un socket di rete a tutte le interfacce di rete.\n
Utilizzo di password e chiavi codificate nel codice.\n
Utilizzo di una directory temporanea predefinita.\n
Utilizzo di pass e continue nei gestori di eccezioni in stile catch-all;\n
Esecuzione di applicazioni web basate sul framework Flask con la modalit\u00e0 di debug attivata.\n
Utilizzo di metodi di deserializzazione dei dati insicuri.\n
Utilizzo di funzioni hash MD2, MD4, MD5 e SHA1.\n
Utilizzo di algoritmi di cifratura DES e modalit\u00e0 di cifratura insicure.\n
Utilizzo di un'implementazione HTTPSConnection insicura in alcune versioni di Python.\n
Specificare lo schema file:\/\/ in urlopen.\n
Utilizzo di generatori di numeri pseudocasuali per compiti crittografici.\n
Utilizzo del protocollo Telnet.\n
Utilizzo di parser XML insicuri. <\/ul>\n
Inoltre, si segnala la presenza di 8 pacchetti dannosi nel catalogo PyPI. Prima della loro rimozione, i pacchetti problematici erano stati scaricati oltre 30.000 volte. Per nascondere l'attivit\u00e0 dannosa e aggirare gli avvisi dei semplici analizzatori statici, i pacchetti utilizzavano la codifica dei blocchi di codice con Base64 e organizzavano l'esecuzione dopo la decodifica tramite una chiamata a eval. <\/p>\n
Nei pacchetti noblesse, genesisbot, are, suffer, noblesse2 e noblessev2 \u00e8 stato identificato codice per intercettare i numeri di carte di credito e le password salvate nei browser Chrome ed Edge, oltre a trasmettere i token degli account dall'app Discord e inviare dati di sistema, comprese schermate del contenuto dello schermo. Nei pacchetti pytagora e pytagora2 era presente la possibilit\u00e0 di caricare ed eseguire codice eseguibile di terze parti. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"