{"id":117354,"date":"2024-07-12T09:43:01","date_gmt":"2024-07-12T07:43:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python"},"modified":"2024-07-12T09:43:01","modified_gmt":"2024-07-12T07:43:01","slug":"utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","title":{"rendered":"Fuga di token per l'accesso completo ai repository GitHub del progetto Python","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I ricercatori dell'azienda JFrog hanno scoperto all'interno di un'immagine Docker chiamata «cabotage-app» un token che fornisce accesso con diritti di amministratore ai repository di Python, PyPI e Python Software Foundation su GitHub. Il token \u00e8 stato trovato in un file binario «__pycache__\/build.cpython-311.pyc» con bytecode compilato cachato.
<\/center> <\/p>\n
Secondo quanto riportato dai rappresentanti del repository PyPI, il token \u00e8 stato creato nel 2023 per lo sviluppatore ewdurbin (Ee Durbin), che ricopre nella Python Software Foundation il ruolo di direttore dell'infrastruttura. Il token forniva accesso con diritti di amministratore a tutti i repository e alle organizzazioni del progetto, inclusi tutti i repository delle organizzazioni pypi, python, psf e pypa. L'immagine Docker problematica contenente il token \u00e8 stata pubblicata nel catalogo Docker Hub il 3 marzo 2023 ed \u00e8 stata rimossa l'11 giugno 2024, quindi \u00e8 stata per 16 mesi accessibile pubblicamente. Il 28 giugno, il token \u00e8 stato revocato. <\/p>\n
\u00c8 notevole che nei file di codice sorgente disponibili, da cui \u00e8 stato generato il file problematico con bytecode, non vi sia alcun riferimento al token. L'autore del codice ha spiegato che durante lo sviluppo dello strumento cabotage-app5 sulla sua macchina locale ha riscontrato limitazioni nella intensit\u00e0 di accesso all'API di GitHub mentre eseguiva una funzione di caricamento automatico di file da GitHub, e per aggirare i limiti imposti agli accessi anonimi a GitHub, ha temporaneamente aggiunto il suo token di lavoro nel codice. Prima della pubblicazione del codice scritto, il token \u00e8 stato rimosso, ma lo sviluppatore non ha tenuto conto che il riferimento al token era stato memorizzato nella cache nel file compilato con bytecode, che \u00e8 poi finito nell'immagine Docker. def _fetch_github_file( — github_repository=»owner\/repo», ref=»main», access_token=None, filename=»Dockerfile» + github_repository=»owner\/repo», + ref=»main», + access_token=»0d6a9bb5af126f73350a2afc058492765446aaad», + filename=»Dockerfile», ): <\/p>\n
L'audit condotto dagli sviluppatori di Python sulle attivit\u00e0 nei repository di GitHub non ha rivelato tentativi di accesso non autorizzati utilizzando il token esposto. Considerato che dal 2017 GitHub \u00e8 la piattaforma principale per lo sviluppo di CPython, la cattura del token da parte di un malintenzionato potrebbe portare a una compromissione totale dell'infrastruttura utilizzata per lo sviluppo di Python e del repository PyPI, nonch\u00e9 a tentativi di integrazione di backdoor in CPython e nel gestore pacchetti PyPI. <\/p>\n
L'incidente evidenzia l'importanza di analizzare le perdite non solo nel codice sorgente, nei file di configurazione e nelle variabili d'ambiente, ma anche nei file binari. Nel contesto di Python, si consiglia agli utenti di prestare attenzione alla presenza nei progetti caricati di file pyc con bytecode compilato, poich\u00e9 questi file potrebbero contenere modifiche nascoste assenti nel codice sorgente. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Fuga](\"\/wp-content\/uploads\/2024\/07\/995cd4986ccb553d612c78345dfec4ad.png\")
<\/center> <\/p>\n