46% од пакетите на Python во складиштето PyPI содржат потенцијално небезбеден код

Група истражувачи од Универзитетот во Турку (Финска) ги објавија резултатите од анализата на пакетите во складиштето PyPI за употреба на потенцијално опасни конструкции кои можат да доведат до ранливости. При анализата на 197 илјади пакети, утврдени се 749 илјади потенцијални безбедносни проблеми. 46% од пакетите имаат барем еден таков проблем. Меѓу најчестите проблеми се недостатоците поврзани со справувањето со исклучоци и употребата на функции кои овозможуваат замена на кодот.

Од идентификуваните 749 илјади проблеми, 442 илјади (41%) се означени како помали, 227 илјади (30%) како умерени и 80 илјади (11%) како опасни. Некои пакети се издвојуваат од толпата и содржат илјадници проблеми: на пример, пакетот PyGGI идентификуваше 2589 проблеми, главно поврзани со употребата на конструкцијата „пробај-освен-помини“, а пакетот appengine-sdk најде 2356 проблеми. Голем број проблеми се присутни и во пакетите genie.libs.ops, pbcore и genie.libs.parser.

Треба да се напомене дека резултатите се добиени врз основа на автоматизирана статичка анализа, која не го зема предвид контекстот на примена на одредени структури. Развивачот на пакетот алатки за бандит, кој се користеше за скенирање на кодот, изрази мислење дека поради прилично големиот број на лажни позитиви, резултатите од скенирањето не можат директно да се сметаат за пропусти без дополнителен рачен преглед на секое прашање.

На пример, анализаторот смета дека употребата на несигурни генератори на случаен број и алгоритми за хеширање, како што е MD5, е безбедносен проблем, додека во кодот таквите алгоритми може да се користат за цели кои не влијаат на безбедноста. Анализаторот, исто така, смета дека е проблем секоја обработка на надворешни податоци во небезбедни функции, како што се pickle, yaml.load, subprocess and eval, но оваа употреба не мора да вклучува ранливост и всушност употребата на овие функции може да се имплементира без безбедносна закана .

Меѓу тестовите користени во студијата:

• Користење на потенцијално небезбедни функции exec, mktemp, eval, mark_safe итн.
• Небезбедно поставување на правата за пристап за датотеките.
• Прикачување мрежен приклучок на сите мрежни интерфејси.
• Употреба на лозинки и клучеви строго наведени во кодот.
• Користење на предефиниран привремен директориум.
• Користење на пропусницата и продолжетокот во управувачите со исклучоци во стил на фаќање;
• Стартување веб-апликации базирани на веб-рамката Flask со овозможен режим за отстранување грешки.
• Користење на небезбедни методи за десериализација на податоци.
• Користи MD2, MD4, MD5 и SHA1 хаш функции.
• Употреба на несигурни DES шифри и режими на шифрирање.
• Употреба на несигурна имплементација на HTTPSConnection во некои верзии на Python.
• Наведување на шемата file:// во urlopen.
• Користење на генератори на псевдослучајни броеви при извршување на криптографски задачи.
• Користење на протоколот Телнет.
• Користење на несигурни XML парсери.

Дополнително, може да се забележи дека во директориумот PyPI беа откриени 8 малициозни пакети. Пред отстранувањето, проблематичните пакети беа преземени повеќе од 30 илјади пати. За да се сокријат малициозните активности и да се заобиколат предупредувањата од едноставни статички анализатори во пакетите, кодните блокови беа кодирани со помош на Base64 и извршени по декодирањето со помош на евал.

Пакетите noblesse, genesisbot, се, страдаат, noblesse2 и noblessev2 содржат код за пресретнување на броеви на кредитни картички и лозинки складирани во прелистувачите Chrome и Edge, како и пренос на токени на сметките од апликацијата Discord и испраќање податоци на системот, вклучувајќи слики од екранот на содржината на екранот. Пакетите pytagora и pytagora2 вклучуваа можност за вчитување и извршување на извршна шифра од трета страна.

Извор: opennet.ru