46% מחבילות Python במאגר PyPI מכילות קוד שעלול להיות לא בטוח

קבוצת חוקרים מאוניברסיטת טורקו (פינלנד) פרסמה את התוצאות של ניתוח חבילות במאגר PyPI לשימוש במבנים שעלולים להוביל לנקודות תורפה. במהלך הניתוח של 197 אלף חבילות זוהו 749 אלף בעיות אבטחה פוטנציאליות. ל-46% מהחבילות יש לפחות בעיה אחת כזו. בין הבעיות הנפוצות ביותר הן חסרונות הקשורים לטיפול בחריגים ושימוש בתכונות המאפשרות החלפת קוד.

מתוך 749 אלף הבעיות שזוהו, 442 אלף (41%) תויגו כקלות, 227 אלף (30%) כבעיות בינוניות ו-80 אלף (11%) כמסוכנות. חלק מהחבילות בולטות מהקהל ומכילות אלפי בעיות: למשל, חבילת PyGGI זיהתה 2589 בעיות, הקשורות בעיקר לשימוש במבנה "try-except-pass", וחבילת appengine-sdk מצאה 2356 בעיות. מספר רב של בעיות קיימות גם בחבילות genie.libs.ops, pbcore ו-genie.libs.parser.

יש לציין כי התוצאות התקבלו על סמך ניתוח סטטי אוטומטי, שאינו לוקח בחשבון את ההקשר של היישום של מבנים מסוימים. מפתחת ערכת הכלים Bandit, ששימשה לסריקת הקוד, הביעה את הדעה שבשל המספר הגבוה למדי של תוצאות שגויות, לא ניתן לראות בתוצאות הסריקה באופן ישיר נקודות תורפה ללא סקירה ידנית נוספת של כל נושא.

לדוגמה, המנתח רואה בשימוש במחוללי מספרים אקראיים ובאלגוריתמי גיבוב לא אמינים, כמו MD5, כבעיית אבטחה, בעוד שבקוד אלגוריתמים כאלה עשויים לשמש למטרות שאינן משפיעות על האבטחה. המנתח גם רואה בבעיה כל עיבוד של נתונים חיצוניים בפונקציות לא בטוחות כמו pickle, yaml.load, subprocess ו-eval, אך שימוש זה אינו כרוך בהכרח בפגיעות ולמעשה ניתן ליישם את השימוש בפונקציות הללו ללא איום אבטחה .

בין המבחנים בהם נעשה שימוש במחקר:

• שימוש בפונקציות שעלולות להיות לא בטוחות exec, mktemp, eval, mark_safe וכו'.
• הגדרה לא מאובטחת של זכויות גישה לקבצים.
• חיבור שקע רשת לכל ממשקי הרשת.
• שימוש בסיסמאות ומפתחות המצוינים בקפדנות בקוד.
• שימוש בספרייה זמנית מוגדרת מראש.
• שימוש ב-pass and continue במטפלי חריגים מסוג catch-all;
• השקת יישומי אינטרנט המבוססים על מסגרת האינטרנט של Flask עם מצב ניפוי באגים מופעל.
• שימוש בשיטות דה-סידריאליזציה לא בטוחות של נתונים.
• משתמש בפונקציות Hash MD2, MD4, MD5 ו-SHA1.
• שימוש בצפני DES ובמצבי הצפנה לא מאובטחים.
• שימוש ביישום HTTPSConnection לא מאובטח בחלק מהגרסאות של Python.
• ציון סכימת file:// ב-urlopen.
• שימוש במחוללי מספרים פסאודו אקראיים בעת ביצוע משימות הצפנה.
• שימוש בפרוטוקול Telnet.
• שימוש במנתחי XML לא מאובטחים.

בנוסף, ניתן לציין ש-8 חבילות זדוניות זוהו בספריית PyPI. לפני ההסרה הורדו חבילות בעייתיות יותר מ-30 אלף פעמים. כדי להסתיר פעילות זדונית ולעקוף אזהרות ממנתחים סטטיים פשוטים בחבילות, קובצי קוד קודד באמצעות Base64 והוצאו לפועל לאחר פענוח באמצעות קריאת eval.

החבילות noblesse, genesisbot, are, suffer, noblesse2 ו-noblessev2 מכילות קוד ליירט מספרי כרטיסי אשראי וסיסמאות המאוחסנות בדפדפני Chrome ו-Edge, כמו גם העברת אסימוני חשבון מאפליקציית Discord ושליחת נתוני מערכת, כולל צילומי מסך של תוכן המסך. החבילות pytagora ו-pytagora2 כללו את היכולת לטעון ולהפעיל קוד הפעלה של צד שלישי.

מקור: OpenNet.ru