{"id":170057,"date":"2026-04-29T00:24:33","date_gmt":"2026-04-28T22:24:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-python-paket-elementary-data-imeyushhij-1-1-mln-zagruzok-v-mesyacz-vnedryon-vredonosnyj-kod"},"modified":"2026-04-29T00:24:33","modified_gmt":"2026-04-28T22:24:33","slug":"v-python-paket-elementary-data-imeyushhij-1-1-mln-zagruzok-v-mesyacz-vnedryon-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-python-paket-elementary-data-imeyushhij-1-1-mln-zagruzok-v-mesyacz-vnedryon-vredonosnyj-kod","title":{"rendered":"Nel pacchetto Python elementary-data, che conta 1,1 milioni di download al mese, \u00e8 stato introdotto del codice malevolo.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda Elementary Data ha riportato una compromissione dei processi di GitHub Actions, che ha permesso agli attaccanti di pubblicare nel catalogo PyPI e nel repository GitHub una versione del pacchetto elementary-data 0.23.3, in cui \u00e8 stato inserito codice dannoso per rubare informazioni riservate dai sistemi degli utenti. La versione malevola \u00e8 stata anche inclusa nell'immagine Docker ufficiale del progetto. Il mese scorso, il pacchetto elementary-data \u00e8 stato scaricato oltre 1,1 milioni di volte dal repository PyPI. <\/p>\n
La versione malevola \u00e8 stata pubblicata il 25 aprile alle 1:20 (MSK) ed \u00e8 rimasta disponibile per il download per oltre 11 ore (fino alle 12:45). L'attacco \u00e8 avvenuto tramite l'invio di una pull request con un commento appositamente formattato, sfruttando una vulnerabilit\u00e0 nel gestore GitHub Action invocato automaticamente. Gli attaccanti sono riusciti a eseguire comandi shell nell'ambiente di integrazione continua ed estrarre il contenuto della variabile d'ambiente GITHUB_TOKEN contenente il token di accesso al repository. Questo token \u00e8 stato utilizzato per creare diversi rami in git e preparare la versione.<\/p>\n
Nel rilascio pubblicato dagli aggressori era incluso un codice malevolo, codificato in formato base64 e attivato durante l'installazione del pacchetto. Il codice malevolo effettuava la scansione del sistema e inviava dati riservati, come chiavi SSH e SSL\/TLS, contenuti delle variabili ambientali, credenziali per AWS, GCP, Azure e K8s, chiavi dei portafogli crittografici, password per i database, cronologia delle operazioni nel terminale, file di configurazione da Git, CI\/CD, gestori di pacchetti e Docker. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"