פייסבוק הציגה את Pysa, מנתח סטטי לשפת Python

פייסבוק הגישו מנתח סטטי פתוח פיזה (Python Static Analyzer), שנועד לזהות נקודות תורפה אפשריות בקוד Python. הנתח החדש מתוכנן כתוספת לערכת הכלים לבדיקת סוגים מְדוּרָה ופורסם במאגר שלו. קוד פורסם תחת רישיון MIT.

Pysa מספקת ניתוח של זרימות נתונים כתוצאה מביצוע קוד, מה שמאפשר לזהות פגיעויות פוטנציאליות רבות ובעיות פרטיות הקשורות לשימוש בנתונים במקומות שבהם הם לא אמורים להופיע.
לדוגמה, Pysa יכולה לעקוב אחר השימוש בנתונים חיצוניים גולמיים בקריאות שמשיקות תוכניות חיצוניות, בפעולות קבצים ובבניית SQL.

עבודתו של המנתח מסתכמת בזיהוי מקורות נתונים ושיחות מסוכנות שבהן אין להשתמש בנתונים המקוריים. נתונים מבקשות אינטרנט (לדוגמה, מילון HttpRequest.GET ב-Django) נחשבים כמקור, ושיחות כמו eval ו-os.open נחשבות לשימושים מסוכנים. Pysa עוקבת אחר זרימת הנתונים דרך שרשרת קריאות הפונקציות ומשייכת את נתוני המקור למקומות שעלולים להיות מסוכנים בקוד. פגיעות טיפוסית שזוהתה באמצעות Pysa מזכירה בעיית הפניה פתוחה (CVE-2019-19775) בפלטפורמת ההודעות Zulip, הנגרמת מהעברת פרמטרים חיצוניים לא נקיים בעת עיבוד תמונות ממוזערות.

יכולות המעקב אחר זרימת הנתונים של Pysa יכולות להגיש מועמדות לאמת את השימוש הנכון במסגרות נוספות ולקבוע עמידה במדיניות השימוש בנתוני המשתמש. לדוגמה, Pysa ללא הגדרות נוספות יכולה לשמש לבדיקת פרויקטים באמצעות מסגרות Django ו- Tornado. Pysa יכולה גם לזהות נקודות תורפה נפוצות ביישומי אינטרנט, כגון הזרקת SQL וסקריפט חוצה אתרים (XSS).

בפייסבוק, המנתח משמש לבדיקת הקוד של שירות אינסטגרם. ברבעון הראשון של 2020, Pysa סייעה לזהות 44% מכל הבעיות שמצאו מהנדסי פייסבוק בבסיס הקוד בצד השרת של אינסטגרם.
בסך הכל, תהליך סקירת השינויים האוטומטי של Pysa זיהה 330 בעיות, מתוכן 49 (15%) דורגו כעיקריות ו-131 (40%) כלא חמורות. ב-150 מקרים (45%) הבעיות סווגו כתוצאות שגויות.

מקור: OpenNet.ru