PyPI रेपॉजिटरीने कोडमध्ये शिल्लक असलेली सुमारे 5000 गुपिते आणि 8 दुर्भावनापूर्ण अस्पष्टता उघड केली.

गिटगार्डियनच्या संशोधकांनी पायथॉन पॅकेज इंडेक्स (PyPI) रिपॉझिटरीमध्ये होस्ट केलेल्या कोडमध्ये डेव्हलपर्सनी मागे सोडलेल्या गोपनीय डेटाच्या विश्लेषणाचे निकाल प्रकाशित केले आहेत. ४५०,००० प्रकल्पांशी संबंधित ९.५ दशलक्षाहून अधिक फायली आणि ५ दशलक्ष पॅकेज रिलीझ तपासल्यानंतर, त्यांनी ५६,८६६ गोपनीय डेटा लीक ओळखले. रिलीझमधील डुप्लिकेशन वगळता, केवळ अद्वितीय डेटा लक्षात घेता, ओळखल्या गेलेल्या लीकची संख्या ३,९३८ होती आणि किमान एक लीक असलेल्या प्रकल्पांची संख्या २,९२२ होती.

एकूण, १५० हून अधिक प्रकारच्या गोपनीय माहिती लीकची ओळख पटवण्यात आली, ज्यामध्ये सामान्य पासवर्ड, क्रिप्टोग्राफिक की, क्लाउड सेवांसाठी अॅक्सेस टोकन, सतत एकत्रीकरण प्रणाली आणि API यांचा समावेश आहे. अभ्यासाच्या वेळी किमान ७६८ क्रेडेन्शियल्स वैध राहिले. वैध राहिलेल्या सामान्य लीकच्या उदाहरणांमध्ये Azure Active Directory अॅक्सेस की, SSH, MongoDB, MySQL आणि PostgreSQL क्रेडेन्शियल्स, GitHub OAuth अॅप, Dropbox आणि Auth0 की आणि Coinbase आणि Twilio लॉगिन क्रेडेन्शियल्स यांचा समावेश आहे.

वाढत्या प्रमाणात लीक होणाऱ्या प्रकारांमध्ये, टेलिग्राम बॉट अॅक्सेस टोकन्सचा उल्लेख करण्यात आला आहे, ज्यांची संख्या २०२१ च्या सुरुवातीला दुप्पट झाली आणि नंतर २०२३ च्या वसंत ऋतूमध्ये पुन्हा दुप्पट झाली. २०२० पासून गुगल एपीआय अॅक्सेस कीजसाठी आणि २०२२ पासून डेटाबेस मॅनेजमेंट सिस्टम क्रेडेन्शियल्ससाठीही लीकमध्ये सतत वाढ नोंदवण्यात आली आहे. सर्वाधिक वारंवार लीक होणाऱ्या पॅकेजेसमध्ये, चॅटएलएम आणि सेफायर पॅकेजेसचा उल्लेख करण्यात आला होता, ज्यामध्ये २०९ ओपनएआय कीज आणि ३२० गुगल क्लाउड कीज लीक झाल्या होत्या.

".py" एक्सटेन्शन असलेल्या फाइल्स व्यतिरिक्त, सर्वाधिक लीक झालेल्या फाइल प्रकारांमध्ये .json (610 लीक), .md (270), PKG-INFO (240), METADATA (210), .txt (170), README फाइल्स (209) आणि test (675) नावाच्या डायरेक्टरीजमधील फाइल्स यांचा समावेश होता. पॅकेजेस तयार करताना त्रुटी आणि फाइल एक्सक्लुजन सेटिंग्जमधील त्रुटींमुळे देखील अनेक लीक झाल्या. उदाहरणार्थ, स्थानिक कॉन्फिगरेशन फाइल्स (.cookiecutterrc, .env, .pypirc, इ.) असलेल्या फाइल्स ".gitignore" फाइलद्वारे Git रिपॉझिटरीमधून वगळल्या जाऊ शकतात, ज्या पॅकेज तयार करताना विचारात घेतल्या जात नाहीत. विशेषतः, रिपॉझिटरीमध्ये 43 .pypirc फाइल्स आढळल्या, ज्यामध्ये PyPI अॅक्सेस करण्यासाठी क्रेडेन्शियल्स आहेत. 15 लीक प्रकरणांमध्ये, डेव्हलपर्सचा मूळतः अंतर्गत वापरासाठी तयार केलेले पॅकेजेस सार्वजनिकरित्या रिलीझ करण्याचा कोणताही हेतू नव्हता, परंतु चुकून ते PyPI वर प्रकाशित केले.

याव्यतिरिक्त, PyPI शी संबंधित आणखी दोन घटनांचा उल्लेख करणे योग्य आहे:

• PyPI रिपॉझिटरीमध्ये आठ दुर्भावनापूर्ण पॅकेजेस आढळून आले, जे ऑब्फस्केशन टूल्स किंवा कोड ऑब्फस्केशन असल्याचा दावा करत होते, ज्यामुळे अंतर्निहित अल्गोरिथमची पुनर्बांधणी करणे कठीण झाले. शोधलेल्या पॅकेजेसमध्ये त्यांच्या नावांमध्ये "pyobf" ही स्ट्रिंग होती (Pyobftoexe, Pyobfusfile, Pyobfexecute, Pyobfpremium, Pyobflight, Pyobfadvance, Pyobfuse आणि pyobfgood) आणि ती २००० पेक्षा जास्त वेळा डाउनलोड केली गेली होती.

  पॅकेजेसमध्ये समाविष्ट केलेला दुर्भावनापूर्ण कोड प्लॅटफॉर्म-विशिष्ट होता. Windows आणि बाह्य नियंत्रणाशी जोडणीस परवानगी दिली सर्व्हर, डेव्हलपरच्या संगणकावर अनियंत्रित कमांड चालवणे, एक्सेस की सारखी संवेदनशील माहिती शोधणे आणि बाह्य सर्व्हरवर पाठवणे आणि सिस्टममधून अनियंत्रित फायली हस्तांतरित करणे. शिवाय, दुर्भावनापूर्ण कोड कीलॉगर म्हणून काम करू शकतो, क्रोममध्ये प्रविष्ट केलेले पासवर्ड इंटरसेप्ट करू शकतो, स्क्रीनशॉट तयार करू शकतो, ऑडिओ रेकॉर्ड करू शकतो आणि वेबकॅम देखील नियंत्रित करू शकतो.

• pypi.org रिपॉझिटरी आणि कंटेनर ऑर्केस्ट्रेशन इन्फ्रास्ट्रक्चरला शक्ती देणाऱ्या "कॅबोटेज" फ्रेमवर्कचे व्यवस्थापन करण्यासाठी वापरल्या जाणाऱ्या साधनांच्या स्वतंत्र कोडबेस ऑडिटचे निकाल प्रकाशित झाले आहेत. हे ऑडिट गैर-नफा संस्था OTF (ओपन टेक्नॉलॉजी फंड) च्या पाठिंब्याने करण्यात आले. ऑडिटमध्ये कोणत्याही उच्च-तीव्रतेच्या समस्या आढळल्या नाहीत आणि स्त्रोत कोड सुरक्षित कोडिंगसाठी मूलभूत आवश्यकता पूर्ण करतो असे आढळून आले. तथापि, कॅबोटेज कोडबेसचे अपुरे चाचणी कव्हरेज नोंदवण्यात आले आणि 29 समस्या ओळखल्या गेल्या, त्यापैकी आठ मध्यम, सहा कमी आणि 14 सल्लागार म्हणून रेट करण्यात आल्या.

  सर्वात लक्षणीय मुद्दे असे आहेत:

  • AWS SNS सह PyPI एकत्रित करण्यासाठी वापरल्या जाणाऱ्या डिजिटल स्वाक्षरींचे अपुरे प्रमाणीकरण वैयक्तिक वापरकर्त्यांना ईमेल सूचना पाठविण्यास अनुमती देत ​​असे.
  • डाउनलोड हँडलरमधील माहिती गळतीमुळे लॉगिन इव्हेंट इव्हेंट्स जनरेट न करता खात्याचे अस्तित्व निश्चित केले जाऊ शकते.
  • कमकुवत क्रिप्टोग्राफिक हॅशचा वापर ज्यामुळे कॅशे पॉयझनिंग हल्ले वगळले जात नाहीत.
  • कॅबोटेजद्वारे बिल्ड प्रक्रिया चालवण्याची परवानगी मिळाल्यास, आक्रमणकर्ता संभाव्यतः कमांड प्रतिस्थापन साध्य करू शकतो.
  • कॅबोटेजमध्ये तैनाती अधिकारांसह, हल्लेखोर संभाव्यतः कायदेशीर दिसणारी प्रतिमा तैनात करू शकतो.

स्त्रोत: opennet.ru