{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"Nel repository PyPI sono stati individuati circa 5000 segreti dimenticati nel codice e 8 offuscatori malevoli.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I ricercatori di GitGuardian hanno pubblicato i risultati di un'analisi su dati riservati dimenticati dagli sviluppatori nel codice ospitato nel repository dei pacchetti Python PyPI (Python Package Index). Dopo aver esaminato oltre 9.5 milioni di file e 5 milioni di versioni di pacchetti, associati a 450.000 progetti, sono stati registrati 56.866 casi di fuga di dati riservati. Se si considerano solo i dati unici, senza duplicati in diverse versioni, il numero di fughe rilevate \u00e8 stato di 3.938, con 2.922 progetti che presentano almeno una fuga. <\/p>\n

Sono stati identificati oltre 150 tipi di esposizione di informazioni riservate, tra cui comuni password, chiavi crittografiche, token di accesso a servizi cloud, sistemi di integrazione continua e API. Almeno 768 credenziali erano ancora valide al momento della ricerca. Tra gli esempi di esposizioni popolari e rilevanti ci sono le chiavi di accesso a Azure Active Directory, credenziali per SSH, MongoDB, MySQL e PostgreSQL, chiavi per GitHub OAuth App, Dropbox e Auth0, e dati di accesso a Coinbase e Twilio. <\/p>\n

Tra i tipi di fuga in aumento, si segnalano i token di accesso per bot su Telegram, il cui numero \u00e8 raddoppiato all'inizio del 2021 e raddoppiato nuovamente nella primavera del 2023. Anche una continua crescita delle fughe \u00e8 registrata dal 2020 per le chiavi di accesso all'API di Google e dal 2022 per le credenziali dei database. Tra i pacchetti che guidano il numero di fughe si segnalano chatllm e safire, nei quali sono stati dimenticati 209 chiavi di OpenAI e 320 chiavi di Google Cloud. <\/p>\n

Tra i tipi di file in cui si sono registrate il maggior numero di fughe, oltre ai file con estensione '.py', figurano i file con estensione .json (610 fughe), .md (270), PKG-INFO (240), METADATA (210), .txt (170), e anche file README (209) e file in cartelle chiamate test (675). Molte fughe sono anche correlate a negligenza e errori nella configurazione delle eccezioni dei file durante la creazione dei pacchetti. Ad esempio, i file con configurazione locale (.cookiecutterrc, .env, .pypirc, ecc.) possono essere esclusi dal repository Git tramite un file '.gitignore', che non viene considerato nella creazione del pacchetto. In particolare, nel repository sono stati trovati 43 file .pypirc contenenti credenziali per l'accesso a PyPI. In 15 casi di fuga, gli sviluppatori non intendevano pubblicare pacchetti destinati all'uso interno, ma li hanno pubblicati per errore su PyPI. <\/p>\n

In aggiunta, si possono menzionare altri due eventi legati a PyPI: <\/p>\n