{"id":117354,"date":"2024-07-12T09:43:01","date_gmt":"2024-07-12T07:43:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python"},"modified":"2024-07-12T09:43:01","modified_gmt":"2024-07-12T07:43:01","slug":"utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","title":{"rendered":"Token di accesso completo ai repository GitHub del progetto Python","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I ricercatori di JFrog hanno scoperto all'interno dell'immagine Docker 'cabotage-app' un token che fornisce accesso con diritti di amministratore ai repository di Python, PyPI e Python Software Foundation su GitHub. Il token \u00e8 stato trovato in un file binario '__pycache__\/build.cpython-311.pyc' contenente bytecode compilato in cache.
<\/center> <\/p>\n
Secondo quanto comunicato dai rappresentanti del repository PyPI, il token \u00e8 stato creato nel 2023 per lo sviluppatore ewdurbin (Ee Durbin), che ricopre nella Python Software Foundation il ruolo di direttore dell'infrastruttura. Il token forniva accesso con diritti di amministratore a tutti i repository e alle organizzazioni del progetto, compresi tutti i repository delle organizzazioni pypi, python, psf e pypa. L'immagine Docker problematica con il token \u00e8 stata pubblicata nel catalogo Docker Hub il 3 marzo 2023 ed \u00e8 stata rimossa l'11 giugno 2024, rimanendo quindi accessibile per 16 mesi. Il 28 giugno, il token \u00e8 stato revocato. <\/p>\n
\u00c8 notevole che nei testi sorgente disponibili, su cui \u00e8 stato generato il file problematico con bytecode, non ci sia alcun riferimento al token. L'autore del codice ha spiegato che durante lo sviluppo dello strumento cabotage-app5 sulla sua macchina locale ha incontrato limitazioni nella frequenza di accesso all'API di GitHub durante l'esecuzione della funzione di caricamento automatico dei file da GitHub e, per aggirare i limiti posti per le richieste anonime a GitHub, ha temporaneamente aggiunto il suo token di lavoro nel codice. Prima della pubblicazione del codice scritto, il token \u00e8 stato rimosso, ma il sviluppatore non ha considerato che il riferimento al token fosse stato memorizzato nella cache nel file precompilato con bytecode, che \u00e8 poi finito nell'immagine Docker. def _fetch_github_file( \u2014 github_repository='owner\/repo', ref='main', access_token=None, filename='Dockerfile' + github_repository='owner\/repo', + ref='main', + access_token='0d6a9bb5af126f73350a2afc058492765446aaad', + filename='Dockerfile', ): <\/p>\n
L'audit delle attivit\u00e0 nei repository GitHub condotto dagli sviluppatori Python non ha rivelato tentativi esterni di accesso utilizzando un token esposto. Considerando che dal 2017 GitHub \u00e8 la piattaforma principale per lo sviluppo di CPython, l'accesso al token da parte di un malintenzionato avrebbe potuto portare a una completa compromissione dell'infrastruttura utilizzata per lo sviluppo di Python e del repository PyPI, con la possibilit\u00e0 di tentativi di integrazione di backdoor in CPython e nel gestore pacchetti PyPI. <\/p>\n
L'incidente evidenzia l'importanza di analizzare le perdite non solo nel codice sorgente, nei file di configurazione e nelle variabili d'ambiente, ma anche nei file binari. Nel contesto di Python, si raccomanda agli utenti di prestare attenzione alla presenza di file pyc con bytecode compilato nei progetti scaricati, poich\u00e9 tali file possono contenere modifiche nascoste, assenti nel codice sorgente. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Token](\"\/wp-content\/uploads\/2024\/07\/995cd4986ccb553d612c78345dfec4ad.png\")
<\/center> <\/p>\n