{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"Nel repository PyPI sono stati scoperti circa 5000 segreti lasciati nel codice e 8 offuscatori malevoli","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I ricercatori di GitGuardian hanno pubblicato i risultati di un'analisi dei dati riservati trascurati dai programmatori nel codice pubblicato nel repository dei pacchetti Python PyPI (Python Package Index). Dopo aver esaminato oltre 9,5 milioni di file e 5 milioni di rilasci di pacchetti, correlati a 450.000 progetti, sono stati identificati 56.866 casi di perdita di dati riservati. Considerando solo i dati unici, senza duplicati in diversi rilasci, il numero di perdite identificato \u00e8 stato di 3.938, e il numero di progetti in cui \u00e8 presente almeno una perdita \u00e8 di 2.922. <\/p>\n

Sono stati identificati oltre 150 tipi di fuga di informazioni sensibili, tra cui password comuni, chiavi crittografiche, token di accesso a servizi cloud, sistemi di integrazione continua e API. Almeno 768 credenziali erano attive al momento della ricerca. Come esempio delle fughe popolari che rimangono rilevanti, vengono menzionate le chiavi di accesso ad Azure Active Directory, le credenziali SSH, MongoDB, MySQL e PostgreSQL, le chiavi per le GitHub OAuth App, Dropbox e Auth0, e i parametri di accesso per Coinbase e Twilio. <\/p>\n

Tra i tipi di perdite sempre pi\u00f9 comuni si segnalano i token di accesso ai bot su Telegram, il cui numero \u00e8 raddoppiato all'inizio del 2021 e poi \u00e8 raddoppiato nuovamente nella primavera del 2023. Si registra anche una continua crescita delle perdite a partire dal 2020 per le chiavi di accesso all'API di Google, e dal 2022 per le credenziali dei database. Tra i pacchetti con il maggior numero di perdite si segnalano i pacchetti chatllm e safire, in cui sono stati dimenticati 209 chiavi di OpenAI e 320 chiavi di Google Cloud. <\/p>\n

Tra i tipi di file con il maggior numero di perdite, oltre ai file con estensione .py, si segnala che i file con estensione .json (610 perdite), .md (270), PKG-INFO (240), METADATA (210), .txt (170), cos\u00ec come i file README (209) e i file dalle cartelle chiamate test (675) mostrano molte perdite. Molte perdite sono anche correlate a negligenza e errori nella configurazione delle esclusioni dei file durante la creazione dei pacchetti. Ad esempio, i file di configurazione locali (.cookiecutterrc, .env, .pypirc, ecc.) possono essere esclusi dal repository Git tramite il file .gitignore, che non viene preso in considerazione durante la creazione del pacchetto. In particolare, nel repository sono stati trovati 43 file .pypirc contenenti credenziali per l'accesso a PyPI. In 15 casi di perdite, gli sviluppatori non intendevano pubblicare pacchetti destinati all'uso interno, ma li hanno pubblicati per errore su PyPI. <\/p>\n

In aggiunta, si possono menzionare altri due eventi legati a PyPI: <\/p>\n