PyPI रेपॉजिटरीमधील 46% Python पॅकेजेसमध्ये संभाव्य असुरक्षित कोड असतो

तुर्कू विद्यापीठातील संशोधकांच्या गटाने (फिनलंड) संभाव्य धोकादायक बांधकामांच्या वापरासाठी PyPI भांडारातील पॅकेजच्या विश्लेषणाचे परिणाम प्रकाशित केले ज्यामुळे असुरक्षा होऊ शकतात. 197 हजार पॅकेजच्या विश्लेषणादरम्यान, 749 हजार संभाव्य सुरक्षा समस्या ओळखल्या गेल्या. 46% पॅकेजेसमध्ये किमान एक अशी समस्या आहे. सर्वात सामान्य समस्यांपैकी अपवाद हाताळणी आणि कोड बदलण्याची परवानगी देणार्‍या वैशिष्ट्यांच्या वापराशी संबंधित उणीवा आहेत.

ओळखल्या गेलेल्या 749 हजार समस्यांपैकी 442 हजार (41%) किरकोळ, 227 हजार (30%) मध्यम समस्या आणि 80 हजार (11%) धोकादायक म्हणून लेबल केल्या गेल्या. काही पॅकेजेस गर्दीतून वेगळी असतात आणि त्यात हजारो समस्या असतात: उदाहरणार्थ, PyGGI पॅकेजने 2589 समस्या ओळखल्या, मुख्यतः “ट्राय-एक्स्पेप्ट-पास” बांधकाम वापरण्याशी संबंधित, आणि appengine-sdk पॅकेजमध्ये 2356 समस्या आढळल्या. genie.libs.ops, pbcore आणि genie.libs.parser पॅकेजेसमध्येही मोठ्या प्रमाणात समस्या आहेत.

हे नोंद घ्यावे की परिणाम स्वयंचलित स्थिर विश्लेषणाच्या आधारावर प्राप्त केले गेले आहेत, जे विशिष्ट संरचनांच्या अनुप्रयोगाचा संदर्भ विचारात घेत नाहीत. कोड स्कॅन करण्यासाठी वापरल्या गेलेल्या बॅन्डिट टूलकिटच्या विकसकाने असे मत व्यक्त केले की खोट्या पॉझिटिव्हच्या बर्‍यापैकी जास्त संख्येमुळे, प्रत्येक समस्येच्या अतिरिक्त मॅन्युअल पुनरावलोकनाशिवाय स्कॅन परिणाम थेट असुरक्षा मानल्या जाऊ शकत नाहीत.

उदाहरणार्थ, विश्लेषक अविश्वसनीय यादृच्छिक क्रमांक जनरेटर आणि MD5 सारख्या हॅशिंग अल्गोरिदमचा वापर सुरक्षिततेची समस्या मानतो, तर कोडमध्ये अशा अल्गोरिदमचा वापर सुरक्षिततेवर परिणाम न करणाऱ्या हेतूंसाठी केला जाऊ शकतो. विश्लेषक असुरक्षित फंक्शन्स जसे की पिकल, yaml.load, सबप्रोसेस आणि इव्हॅलमध्ये बाह्य डेटाच्या कोणत्याही प्रक्रियेस समस्या मानतो, परंतु या वापरामध्ये असुरक्षितता असणे आवश्यक नाही आणि खरं तर या फंक्शन्सचा वापर सुरक्षिततेच्या धोक्याशिवाय लागू केला जाऊ शकतो. .

अभ्यासात वापरलेल्या चाचण्यांपैकी:

• exec, mktemp, eval, mark_safe इत्यादी संभाव्य असुरक्षित फंक्शन्स वापरणे.
• फायलींसाठी प्रवेश अधिकारांची असुरक्षित सेटिंग.
• सर्व नेटवर्क इंटरफेसमध्ये नेटवर्क सॉकेट संलग्न करणे.
• कोडमध्ये काटेकोरपणे निर्दिष्ट केलेले पासवर्ड आणि की वापरणे.
• पूर्वनिर्धारित तात्पुरती निर्देशिका वापरणे.
• कॅच-ऑल-स्टाईल अपवाद हँडलर्समध्ये पास आणि सुरू ठेवा वापरणे;
• डीबगिंग मोड सक्षम करून फ्लास्क वेब फ्रेमवर्कवर आधारित वेब अनुप्रयोग लाँच करणे.
• असुरक्षित डेटा डिसिरियलायझेशन पद्धती वापरणे.
• MD2, MD4, MD5 आणि SHA1 हॅश फंक्शन्स वापरते.
• असुरक्षित डीईएस सिफर आणि एन्क्रिप्शन मोडचा वापर.
• Python च्या काही आवृत्त्यांमध्ये असुरक्षित HTTPSConnection अंमलबजावणीचा वापर.
• urlopen मध्ये file:// योजना निर्दिष्ट करणे.
• क्रिप्टोग्राफिक कार्ये करताना छद्म यादृच्छिक संख्या जनरेटर वापरणे.
• टेलनेट प्रोटोकॉल वापरणे.
• असुरक्षित XML पार्सर वापरणे.

याव्यतिरिक्त, हे लक्षात घेतले जाऊ शकते की PyPI निर्देशिकेत 8 दुर्भावनापूर्ण पॅकेजेस आढळले आहेत. काढण्यापूर्वी, समस्याग्रस्त पॅकेजेस 30 हजाराहून अधिक वेळा डाउनलोड केले गेले. पॅकेजेसमधील साध्या स्टॅटिक विश्लेषकांकडून दुर्भावनापूर्ण क्रियाकलाप आणि बायपास चेतावणी लपविण्यासाठी, बेस64 वापरून कोड ब्लॉक्स एन्कोड केले गेले आणि ईव्हल कॉल वापरून डीकोडिंगनंतर कार्यान्वित केले गेले.

noblesse, genesisbot, are, ग्रस्त, noblesse2 आणि noblesev2 पॅकेजमध्ये Chrome आणि Edge ब्राउझरमध्ये संचयित क्रेडिट कार्ड क्रमांक आणि पासवर्ड रोखण्यासाठी, तसेच Discord ऍप्लिकेशनमधून खाते टोकन हस्तांतरित करण्यासाठी आणि स्क्रीन सामग्रीच्या स्क्रीनशॉटसह सिस्टम डेटा पाठवण्यासाठी कोड असतो. pytagora आणि pytagora2 पॅकेजेसमध्ये तृतीय-पक्ष एक्झिक्युटेबल कोड लोड आणि कार्यान्वित करण्याची क्षमता समाविष्ट आहे.

स्त्रोत: opennet.ru