Ireo mpamorona ny sehatra Packj, izay manadihady ny fiarovana ny tranomboky, dia namoaka kitapom-baiko misokatra izay ahafahan'izy ireo mamantatra ireo rafitra mampidi-doza ao anaty fonosana izay mety mifandray amin'ny fampiharana ny asa ratsy na ny fisian'ny vulnerability ampiasaina amin'ny fanafihana. amin'ny tetikasa mampiasa ny fonosana resahina ("rojo famatsiana"). Ny fanamarinana fonosana dia tohana amin'ny fiteny Python sy JavaScript, apetraka ao amin'ny lahatahiry PyPi sy NPM (mikasa ny hanampy an'i Ruby sy RubyGems amin'ity volana ity ihany koa izy ireo). Ny kaody kitapom-pitaovana dia nosoratana tamin'ny Python ary zaraina amin'ny alΓ lan'ny fahazoan-dΓ lana AGPLv3.
Nandritra ny famakafakana ny fonosana 330 arivo tamin'ny fampiasana ireo fitaovana natolotra tao amin'ny tahiry PyPi, fonosana 42 maloto miaraka amin'ny varavarana aoriana sy fonosana mampidi-doza 2.4 arivo no fantatra. Mandritra ny fisafoana dia atao ny famakafakana kaody static mba hamantarana ireo endri-javatra API ary hanombantombana ny fisian'ireo vulnerabilities fantatra voamarika ao amin'ny tahiry OSV. Ny fonosana MalOSS dia ampiasaina hamakafaka ny API. Ny kaody fonosana dia nodinihina noho ny fisian'ny lamina mahazatra ampiasaina amin'ny malware. Ny maodely dia nomanina mifototra amin'ny fandalinana fonosana 651 miaraka amin'ny hetsika maloto voamarina.
Izy io koa dia mamaritra ny toetra sy ny metadata izay miteraka risika amin'ny fampiasana tsy ara-dalΓ na, toy ny famonoana ny sakana amin'ny alΓ lan'ny "eval" na "exec", mamorona fehezan-dalΓ na vaovao amin'ny fotoana fandehanana, mampiasa teknika fehezan-dalΓ na tsy misy dikany, manodinkodina ny fari-piainan'ny tontolo iainana, fidirana tsy misy kendrena amin'ny rakitra, fidirana amin'ny loharanon-tambajotra amin'ny script fametrahana (setup.py), amin'ny fampiasana typequatting (fanomezana anarana mitovy amin'ny anaran'ny tranomboky malaza), famantarana ireo tetikasa efa lany andro sy nilaozana, manondro ireo mailaka sy tranokala tsy misy, tsy fisian'ny tahiry ho an'ny daholobe misy kaody.
Fanampin'izany, azontsika atao ny manamarika ny famantaran'ny mpikaroka hafa momba ny fiarovana amin'ny fonosana ratsy dimy ao amin'ny tahiry PyPi, izay nandefa ny votoatin'ny fari-piainan'ny tontolo iainana ho any amin'ny mpizara ivelany miaraka amin'ny fiandrasana ny fangalarana famantarana ho an'ny AWS sy ny rafitra fampidirana mitohy: loglib-modules (aseho ho modules ho an'ny tranomboky loglib ara-dalΓ na), pyg-modules , pygrata ary pygrata-utils (nantsoina ho fanampin'ny tranomboky pyg ara-dalΓ na) ary hkg-sol-utils.
Source: opennet.ru