Packj - ຊຸດເຄື່ອງມືສໍາລັບການກໍານົດຫ້ອງສະຫມຸດທີ່ເປັນອັນຕະລາຍໃນ Python ແລະ JavaScript

ຜູ້ພັດທະນາແພລະຕະຟອມ Packj, ເຊິ່ງວິເຄາະຄວາມປອດໄພຂອງຫ້ອງສະຫມຸດ, ໄດ້ເຜີຍແຜ່ຊຸດເຄື່ອງມືຄໍາສັ່ງເປີດທີ່ອະນຸຍາດໃຫ້ພວກເຂົາກໍານົດໂຄງສ້າງທີ່ມີຄວາມສ່ຽງໃນແພັກເກັດທີ່ອາດຈະກ່ຽວຂ້ອງກັບການປະຕິບັດກິດຈະກໍາທີ່ເປັນອັນຕະລາຍຫຼືມີຈຸດອ່ອນທີ່ໃຊ້ໃນການໂຈມຕີ. ກ່ຽວ​ກັບ​ໂຄງ​ການ​ນໍາ​ໃຊ້​ການ​ຫຸ້ມ​ຫໍ່​ໃນ​ຄໍາ​ຖາມ ("ຕ່ອງ​ໂສ້​ການ​ສະ​ຫນອງ​"​)​. ການກວດສອບການຫຸ້ມຫໍ່ແມ່ນສະຫນັບສະຫນູນໃນພາສາ Python ແລະ JavaScript, ໂຮດຢູ່ໃນໄດເລກະທໍລີ PyPi ແລະ NPM (ພວກເຂົາຍັງວາງແຜນທີ່ຈະເພີ່ມການສະຫນັບສະຫນູນສໍາລັບ Ruby ແລະ RubyGems ໃນເດືອນນີ້). ລະຫັດຊຸດເຄື່ອງມືແມ່ນຂຽນໃນ Python ແລະແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ AGPLv3.

ໃນລະຫວ່າງການວິເຄາະ 330 ພັນຊຸດໂດຍໃຊ້ເຄື່ອງມືທີ່ສະເຫນີຢູ່ໃນບ່ອນເກັບມ້ຽນ PyPi, 42 ຊຸດທີ່ເປັນອັນຕະລາຍທີ່ມີ backdoors ແລະ 2.4 ພັນຊຸດທີ່ມີຄວາມສ່ຽງໄດ້ຖືກລະບຸ. ໃນລະຫວ່າງການກວດກາ, ການວິເຄາະລະຫັດຄົງທີ່ໄດ້ຖືກປະຕິບັດເພື່ອກໍານົດລັກສະນະ API ແລະປະເມີນການປະກົດຕົວຂອງຊ່ອງໂຫວ່ທີ່ຮູ້ຈັກໃນຖານຂໍ້ມູນ OSV. ຊຸດ MalOSS ຖືກໃຊ້ເພື່ອວິເຄາະ API. ລະຫັດຊຸດໄດ້ຖືກວິເຄາະສໍາລັບການປະກົດຕົວຂອງຮູບແບບປົກກະຕິທີ່ໃຊ້ທົ່ວໄປໃນ malware. ແມ່ແບບໄດ້ຖືກກະກຽມໂດຍອີງໃສ່ການສຶກສາຂອງ 651 ຊຸດທີ່ມີກິດຈະກໍາທີ່ເປັນອັນຕະລາຍທີ່ຖືກຢືນຢັນ.

ມັນຍັງກໍານົດຄຸນລັກສະນະແລະ metadata ທີ່ນໍາໄປສູ່ຄວາມສ່ຽງຕໍ່ການໃຊ້ໃນທາງທີ່ຜິດ, ເຊັ່ນ: ການປະຕິບັດຕັນຜ່ານ "eval" ຫຼື "exec", ການສ້າງລະຫັດໃຫມ່ໃນເວລາແລ່ນ, ການນໍາໃຊ້ເຕັກນິກລະຫັດທີ່ສັບສົນ, ການຈັດການຕົວແປສະພາບແວດລ້ອມ, ການເຂົ້າເຖິງໄຟລ໌ທີ່ບໍ່ແມ່ນເປົ້າຫມາຍ, ການເຂົ້າເຖິງຊັບພະຍາກອນຂອງເຄືອຂ່າຍໃນສະຄິບການຕິດຕັ້ງ (setup.py), ໂດຍໃຊ້ typesquatting (ກໍານົດຊື່ທີ່ຄ້າຍຄືກັນກັບຊື່ຂອງຫໍສະຫມຸດທີ່ນິຍົມ), ການກໍານົດໂຄງການລ້າສະໄຫມແລະປະຖິ້ມໄວ້, ລະບຸອີເມວແລະເວັບໄຊທ໌ທີ່ບໍ່ມີຢູ່, ການຂາດການເກັບຮັກສາສາທາລະນະທີ່ມີລະຫັດ.

ນອກຈາກນັ້ນ, ພວກເຮົາສາມາດສັງເກດເຫັນການກໍານົດໂດຍນັກຄົ້ນຄວ້າຄວາມປອດໄພອື່ນໆຂອງຫ້າແພັກເກັດທີ່ເປັນອັນຕະລາຍຢູ່ໃນບ່ອນເກັບມ້ຽນ PyPi, ເຊິ່ງສົ່ງເນື້ອຫາຂອງຕົວແປສະພາບແວດລ້ອມໄປຫາເຄື່ອງແມ່ຂ່າຍພາຍນອກທີ່ມີຄວາມຄາດຫວັງຂອງການລັກ tokens ສໍາລັບ AWS ແລະລະບົບການເຊື່ອມໂຍງຢ່າງຕໍ່ເນື່ອງ: loglib-modules (ນໍາສະເຫນີເປັນ. ໂມດູນສໍາລັບຫ້ອງສະຫມຸດ loglib ທີ່ຖືກຕ້ອງ), pyg-modules , pygrata ແລະ pygrata-utils (touted ເປັນການເພີ່ມເຂົ້າໃນຫ້ອງສະຫມຸດ pyg ທີ່ຖືກຕ້ອງ) ແລະ hkg-sol-utils.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru