PyPI भण्डारमा पाइथन प्याकेजहरूको 46% सम्भावित रूपमा असुरक्षित कोड समावेश गर्दछ

टुर्कु विश्वविद्यालय (फिनल्याण्ड) का अनुसन्धानकर्ताहरूको समूहले सम्भावित खतरनाक निर्माणहरूको प्रयोगको लागि PyPI भण्डारमा प्याकेजहरूको विश्लेषणको नतिजा प्रकाशित गर्यो जसले कमजोरीहरू निम्त्याउन सक्छ। १९७ हजार प्याकेजको विश्लेषण गर्दा ७४९ हजार सम्भावित सुरक्षा समस्या पहिचान गरिएको थियो । 197% प्याकेजहरूमा कम्तिमा एउटा यस्तो समस्या छ। सबैभन्दा सामान्य समस्याहरू मध्ये अपवाद ह्यान्डलिंग र कोड प्रतिस्थापनलाई अनुमति दिने सुविधाहरूको प्रयोगसँग सम्बन्धित कमजोरीहरू हुन्।

पहिचान भएका ७ लाख ४९ हजार समस्यामध्ये ४ लाख ४२ हजार (४१%) मा साना, २ लाख २७ हजार (३०%) लाई मध्यम र ८० हजार (११%) लाई खतरनाक मानिएको छ । केही प्याकेजहरू भीडबाट अलग छन् र हजारौं समस्याहरू समावेश छन्: उदाहरणका लागि, PyGGI प्याकेजले 749 समस्याहरू पहिचान गर्‍यो, मुख्य रूपमा "प्रयास-बाहेक-पास" निर्माणको प्रयोगसँग सम्बन्धित छ, र appengine-sdk प्याकेजले 442 समस्याहरू फेला पारेको छ। genie.libs.ops, pbcore र genie.libs.parser प्याकेजहरूमा पनि ठूलो संख्यामा समस्याहरू छन्।

यो ध्यान दिनुपर्छ कि परिणामहरू स्वचालित स्थिर विश्लेषणको आधारमा प्राप्त गरिएको थियो, जसले निश्चित संरचनाहरूको आवेदनको सन्दर्भलाई ध्यानमा राख्दैन। कोड स्क्यान गर्न प्रयोग गरिएको ब्यान्डिट टुलकिटको विकासकर्ताले गलत सकारात्मकहरूको पर्याप्त संख्याको कारणले प्रत्येक मुद्दाको अतिरिक्त म्यानुअल समीक्षा बिना स्क्यान परिणामहरूलाई प्रत्यक्ष रूपमा कमजोरीहरू मान्न सकिँदैन भन्ने राय व्यक्त गरे।

उदाहरणका लागि, विश्लेषकले अविश्वसनीय अनियमित संख्या जनरेटरहरू र MD5 जस्ता ह्यासिङ एल्गोरिदमहरूको प्रयोगलाई सुरक्षा समस्याको रूपमा लिन्छ, जबकि कोडमा त्यस्ता एल्गोरिदमहरू सुरक्षालाई असर नगर्ने उद्देश्यका लागि प्रयोग गर्न सकिन्छ। विश्लेषकले असुरक्षित प्रकार्यहरू जस्तै pickle, yaml.load, subprocess र eval मा कुनै पनि बाह्य डेटाको प्रशोधनलाई समस्या मान्दछ, तर यो प्रयोगले कुनै जोखिम समावेश गर्दैन र वास्तवमा यी प्रकार्यहरूको प्रयोग सुरक्षा खतरा बिना कार्यान्वयन गर्न सकिन्छ। ।

अध्ययनमा प्रयोग गरिएका परीक्षणहरू मध्ये:

• सम्भावित रूपमा असुरक्षित प्रकार्यहरू प्रयोग गर्दै exec, mktemp, eval, mark_safe, आदि।
• फाइलहरूको लागि पहुँच अधिकारको असुरक्षित सेटिङ।
• सबै नेटवर्क इन्टरफेसहरूमा नेटवर्क सकेट संलग्न गर्दै।
• कोडमा कडाईका साथ निर्दिष्ट गरिएका पासवर्ड र कुञ्जीहरूको प्रयोग।
• पूर्वनिर्धारित अस्थायी डाइरेक्टरी प्रयोग गर्दै।
• क्याच-अल-शैली अपवाद ह्यान्डलरहरूमा पास र जारी प्रयोग गर्दै;
• डिबगिङ मोड सक्षम भएको फ्लास्क वेब फ्रेमवर्कमा आधारित वेब अनुप्रयोगहरू सुरु गर्दै।
• असुरक्षित डाटा डिसेरियलाइजेसन विधिहरू प्रयोग गर्दै।
• MD2, MD4, MD5 र SHA1 ह्यास प्रकार्यहरू प्रयोग गर्दछ।
• असुरक्षित DES सिफर र इन्क्रिप्शन मोडहरूको प्रयोग।
• पाइथनको केही संस्करणहरूमा असुरक्षित HTTPS जडान कार्यान्वयनको प्रयोग।
• urlopen मा file:// योजना निर्दिष्ट गर्दै।
• क्रिप्टोग्राफिक कार्यहरू प्रदर्शन गर्दा स्यूडोरेन्डम नम्बर जनरेटरहरू प्रयोग गर्दै।
• टेलनेट प्रोटोकल प्रयोग गर्दै।
• असुरक्षित XML पार्सरहरू प्रयोग गर्दै।

थप रूपमा, यो नोट गर्न सकिन्छ कि PyPI डाइरेक्टरीमा 8 मालिसियस प्याकेजहरू पत्ता लगाइयो। हटाउनु अघि, समस्याग्रस्त प्याकेजहरू 30 हजार भन्दा बढी पटक डाउनलोड गरिएको थियो। मालिसियस गतिविधि लुकाउन र प्याकेजहरूमा साधारण स्थिर विश्लेषकहरूबाट चेतावनीहरू बाइपास गर्न, कोड ब्लकहरू Base64 प्रयोग गरेर इन्कोड गरिएको थियो र eval कल प्रयोग गरेर डिकोडिङ पछि कार्यान्वयन गरियो।

noblesse, genesisbot, are, दुख, noblesse2 र noblesev2 प्याकेजहरूले क्रोम र एज ब्राउजरहरूमा भण्डारण गरिएका क्रेडिट कार्ड नम्बरहरू र पासवर्डहरू रोक्नको लागि कोड समावेश गर्दछ, साथै Discord अनुप्रयोगबाट खाता टोकनहरू स्थानान्तरण गर्न र स्क्रिन सामग्रीहरूको स्क्रिनसटहरू सहित प्रणाली डेटा पठाउने। pytagora र pytagora2 प्याकेजहरूमा तेस्रो-पक्ष कार्यान्वयनयोग्य कोड लोड गर्ने र कार्यान्वयन गर्ने क्षमता समावेश थियो।

स्रोत: opennet.ru