Python-ის პაკეტების 46% PyPI საცავში შეიცავს პოტენციურად სახიფათო კოდს

ტურკუს (ფინეთი) უნივერსიტეტის მკვლევართა ჯგუფმა გამოაქვეყნა პაკეტების ანალიზის შედეგები PyPI საცავში პოტენციურად საშიში კონსტრუქციების გამოყენებისთვის, რამაც შეიძლება გამოიწვიოს დაუცველობა. 197 ათასი პაკეტის ანალიზის დროს გამოვლინდა უსაფრთხოების 749 ათასი პოტენციური პრობლემა. პაკეტების 46%-ს აქვს მინიმუმ ერთი ასეთი პრობლემა. ყველაზე გავრცელებულ პრობლემებს შორის არის ხარვეზები, რომლებიც დაკავშირებულია გამონაკლისების მართვასთან და ფუნქციების გამოყენებასთან, რომლებიც საშუალებას აძლევს კოდის ჩანაცვლებას.

გამოვლენილი 749 ათასი პრობლემადან 442 ათასი (41%) დასახელდა როგორც უმნიშვნელო, 227 ათასი (30%), როგორც საშუალო სიმძიმის და 80 ათასი (11%), როგორც საშიში. ზოგიერთი პაკეტი გამოირჩევა ბრბოდან და შეიცავს ათასობით პრობლემას: მაგალითად, PyGGI პაკეტმა გამოავლინა 2589 პრობლემა, ძირითადად დაკავშირებულია „try-except-pass“ კონსტრუქციის გამოყენებასთან, ხოლო appengine-sdk პაკეტმა აღმოაჩინა 2356 პრობლემა. პრობლემების დიდი რაოდენობა ასევე გვხვდება genie.libs.ops, pbcore და genie.libs.parser პაკეტებში.

აღსანიშნავია, რომ შედეგები მიღებული იქნა ავტომატური სტატიკური ანალიზის საფუძველზე, რომელიც არ ითვალისწინებს გარკვეული სტრუქტურების გამოყენების კონტექსტს. ბანდიტური ინსტრუმენტარიუმის შემქმნელმა, რომელიც გამოიყენებოდა კოდის სკანირებისთვის, გამოთქვა მოსაზრება, რომ ცრუ პოზიტივის საკმაოდ მაღალი რაოდენობის გამო, სკანირების შედეგები არ შეიძლება ჩაითვალოს უშუალოდ დაუცველებად, თითოეული საკითხის დამატებითი ხელით განხილვის გარეშე.

მაგალითად, ანალიზატორი მიიჩნევს, რომ არასანდო შემთხვევითი რიცხვების გენერატორების გამოყენებას და ჰეშირების ალგორითმებს, როგორიცაა MD5, უსაფრთხოების პრობლემად მიიჩნევს, ხოლო კოდში ასეთი ალგორითმები შეიძლება გამოყენებულ იქნას მიზნებისთვის, რომლებიც გავლენას არ მოახდენს უსაფრთხოებაზე. ანალიზატორი ასევე თვლის გარე მონაცემების ნებისმიერ დამუშავებას სახიფათო ფუნქციებში, როგორიცაა pickle, yaml.load, subprocess და eval პრობლემა, მაგრამ ეს გამოყენება სულაც არ გულისხმობს დაუცველობას და რეალურად ამ ფუნქციების გამოყენება შეიძლება განხორციელდეს უსაფრთხოების საფრთხის გარეშე. .

კვლევაში გამოყენებულ ტესტებს შორის:

• პოტენციურად სახიფათო ფუნქციების გამოყენება exec, mktemp, eval, mark_safe და ა.შ.
• ფაილებზე წვდომის უფლებების არასაიმედო დაყენება.
• ქსელის სოკეტის მიმაგრება ყველა ქსელის ინტერფეისზე.
• კოდში მკაცრად მითითებული პაროლების და გასაღებების გამოყენება.
• წინასწარ განსაზღვრული დროებითი დირექტორიას გამოყენებით.
• უღელტეხილის გამოყენება და გაგრძელება catch-all-style გამონაკლისების დამმუშავებლებში;
• ვებ აპლიკაციების გაშვება Flask ვებ ჩარჩოზე დაფუძნებული გამართვის რეჟიმით ჩართული.
• მონაცემთა დესერიალიზაციის სახიფათო მეთოდების გამოყენება.
• იყენებს MD2, MD4, MD5 და SHA1 ჰეშის ფუნქციებს.
• დაუცველი DES შიფრების და დაშიფვრის რეჟიმების გამოყენება.
• დაუცველი HTTPSConnection განხორციელების გამოყენება Python-ის ზოგიერთ ვერსიაში.
• urlopen-ში file:// სქემის მითითება.
• კრიპტოგრაფიული ამოცანების შესრულებისას ფსევდო შემთხვევითი რიცხვების გენერატორების გამოყენება.
• Telnet პროტოკოლის გამოყენებით.
• არასაიმედო XML პარსერების გამოყენება.

გარდა ამისა, შეიძლება აღინიშნოს, რომ PyPI დირექტორიაში აღმოჩენილია 8 მავნე პაკეტი. ამოღებამდე, პრობლემური პაკეტები გადმოწერილი იქნა 30 ათასზე მეტჯერ. მავნე აქტივობის დასამალად და მარტივი სტატიკური ანალიზატორების გაფრთხილებების გვერდის ავლით პაკეტებში, კოდის ბლოკები დაშიფრული იქნა Base64-ის გამოყენებით და შესრულდა დეკოდირების შემდეგ eval ზარის გამოყენებით.

noblesse, genesisbot, are, suffer, noblesse2 და noblessev2 პაკეტები შეიცავს კოდს საკრედიტო ბარათის ნომრებისა და პაროლების ჩასაჭრელად, რომლებიც ინახება Chrome და Edge ბრაუზერებში, ასევე ანგარიშის ტოკენების გადატანას Discord აპლიკაციიდან და სისტემის მონაცემების გაგზავნისთვის, ეკრანის შიგთავსის ეკრანის ანაბეჭდების ჩათვლით. pytagora და pytagora2 პაკეტები მოიცავდა მესამე მხარის შესრულებადი კოდის ჩატვირთვისა და შესრულების შესაძლებლობას.

წყარო: opennet.ru