Packj - កញ្ចប់ឧបករណ៍សម្រាប់កំណត់អត្តសញ្ញាណបណ្ណាល័យព្យាបាទនៅក្នុង Python និង JavaScript

អ្នកអភិវឌ្ឍន៍នៃវេទិកា Packj ដែលវិភាគសុវត្ថិភាពនៃបណ្ណាល័យបានបោះពុម្ពកញ្ចប់ឧបករណ៍បន្ទាត់ពាក្យបញ្ជាបើកចំហដែលអនុញ្ញាតឱ្យពួកគេកំណត់រចនាសម្ព័ន្ធប្រថុយប្រថាននៅក្នុងកញ្ចប់ដែលអាចត្រូវបានផ្សារភ្ជាប់ជាមួយនឹងការអនុវត្តសកម្មភាពព្យាបាទ ឬវត្តមាននៃភាពងាយរងគ្រោះដែលត្រូវបានប្រើដើម្បីអនុវត្តការវាយប្រហារ។ លើគម្រោងដោយប្រើកញ្ចប់ដែលមានសំណួរ ("ខ្សែសង្វាក់ផ្គត់ផ្គង់")។ ការត្រួតពិនិត្យកញ្ចប់ត្រូវបានគាំទ្រជាភាសា Python និង JavaScript ដែលបង្ហោះក្នុងបញ្ជី PyPi និង NPM (ពួកគេក៏មានគម្រោងបន្ថែមការគាំទ្រសម្រាប់ Ruby និង RubyGems ក្នុងខែនេះផងដែរ)។ កូដប្រអប់ឧបករណ៍ត្រូវបានសរសេរជា Python និងចែកចាយក្រោមអាជ្ញាប័ណ្ណ AGPLv3 ។

ក្នុងអំឡុងពេលនៃការវិភាគនៃកញ្ចប់ចំនួន 330 ពាន់ដោយប្រើឧបករណ៍ដែលបានស្នើឡើងនៅក្នុងឃ្លាំង PyPi កញ្ចប់ព្យាបាទចំនួន 42 ដែលមាន backdoors និង 2.4 ពាន់កញ្ចប់ប្រថុយប្រថានត្រូវបានកំណត់អត្តសញ្ញាណ។ ក្នុងអំឡុងពេលនៃការត្រួតពិនិត្យ ការវិភាគកូដឋិតិវន្តត្រូវបានអនុវត្តដើម្បីកំណត់អត្តសញ្ញាណលក្ខណៈពិសេសរបស់ API និងវាយតម្លៃវត្តមាននៃភាពងាយរងគ្រោះដែលគេស្គាល់ដែលបានកត់សម្គាល់នៅក្នុងមូលដ្ឋានទិន្នន័យ OSV ។ កញ្ចប់ MalOSS ត្រូវបានប្រើដើម្បីវិភាគ API ។ កូដកញ្ចប់ត្រូវបានវិភាគសម្រាប់វត្តមាននៃគំរូធម្មតាដែលប្រើជាទូទៅនៅក្នុងមេរោគ។ គំរូត្រូវបានរៀបចំដោយផ្អែកលើការសិក្សាលើកញ្ចប់ 651 ដែលមានសកម្មភាពព្យាបាទ។

វាក៏កំណត់គុណលក្ខណៈ និងទិន្នន័យមេតាដែលនាំទៅរកការកើនឡើងហានិភ័យនៃការប្រើប្រាស់ខុស ដូចជាការប្រតិបត្តិប្លុកតាមរយៈ "eval" ឬ "exec" ការបង្កើតកូដថ្មីនៅពេលកំពុងដំណើរការ ដោយប្រើបច្ចេកទេសកូដមិនច្បាស់ រៀបចំអថេរបរិស្ថាន និងការចូលប្រើប្រាស់មិនគោលដៅ។ ឯកសារ ការចូលប្រើធនធានបណ្តាញនៅក្នុងស្គ្រីបដំឡើង (setup.py) ដោយប្រើ typequatting (កំណត់ឈ្មោះស្រដៀងនឹងឈ្មោះបណ្ណាល័យពេញនិយម) កំណត់អត្តសញ្ញាណគម្រោងហួសសម័យ និងបោះបង់ចោល បញ្ជាក់អ៊ីមែល និងគេហទំព័រដែលមិនមាន កង្វះឃ្លាំងសាធារណៈដែលមានលេខកូដ។

លើសពីនេះទៀត យើងអាចកត់សម្គាល់ការកំណត់អត្តសញ្ញាណដោយអ្នកស្រាវជ្រាវសន្តិសុខផ្សេងទៀតនៃកញ្ចប់ព្យាបាទចំនួនប្រាំនៅក្នុងឃ្លាំង PyPi ដែលបានបញ្ជូនមាតិកានៃអថេរបរិស្ថានទៅម៉ាស៊ីនមេខាងក្រៅជាមួយនឹងការរំពឹងទុកនៃការលួចសញ្ញាសម្ងាត់សម្រាប់ AWS និងប្រព័ន្ធរួមបញ្ចូលជាបន្តបន្ទាប់៖ loglib-modules (បង្ហាញជា ម៉ូឌុលសម្រាប់បណ្ណាល័យ loglib ស្របច្បាប់) ម៉ូឌុល pyg , pygrata និង pygrata-utils (ត្រូវបានលើកឡើងថាជាការបន្ថែមទៅបណ្ណាល័យ pyg ស្របច្បាប់) និង hkg-sol-utils ។

ប្រភព: opennet.ru