Packj - Python र JavaScript मा दुर्भावनापूर्ण पुस्तकालयहरू पहिचान गर्नको लागि एउटा टुलकिट

पुस्तकालयहरूको सुरक्षाको विश्लेषण गर्ने Packj प्लेटफर्मका विकासकर्ताहरूले एउटा खुला कमाण्ड लाइन टुलकिट प्रकाशित गरेका छन् जसले तिनीहरूलाई प्याकेजहरूमा जोखिमपूर्ण संरचनाहरू पहिचान गर्न अनुमति दिन्छ जुन दुर्भावनापूर्ण गतिविधिको कार्यान्वयन वा आक्रमणहरू गर्न प्रयोग हुने कमजोरीहरूको उपस्थितिसँग सम्बन्धित हुन सक्छ। प्रश्नमा प्याकेजहरू प्रयोग गर्ने परियोजनाहरूमा ("सप्लाई चेन")। प्याकेज जाँच पाइथन र जाभास्क्रिप्ट भाषाहरूमा समर्थित छ, PyPi र NPM डाइरेक्टरीहरूमा होस्ट गरिएको छ (तिनीहरू यस महिना रुबी र रुबीजेम्सका लागि समर्थन थप्ने योजना पनि छन्)। टूलकिट कोड पाइथनमा लेखिएको छ र AGPLv3 इजाजतपत्र अन्तर्गत वितरण गरिएको छ।

PyPi रिपोजिटरीमा प्रस्तावित उपकरणहरू प्रयोग गरी 330 हजार प्याकेजहरूको विश्लेषण गर्दा, ब्याकडोरसहित 42 खराब प्याकेज र 2.4 हजार जोखिमपूर्ण प्याकेजहरू पहिचान गरियो। निरीक्षणको क्रममा, एपीआई सुविधाहरू पहिचान गर्न र OSV डाटाबेसमा उल्लेख गरिएका ज्ञात कमजोरीहरूको उपस्थितिको मूल्याङ्कन गर्न स्थिर कोड विश्लेषण गरिन्छ। MalOSS प्याकेज API को विश्लेषण गर्न प्रयोग गरिन्छ। प्याकेज कोड सामान्यतया मालवेयरमा प्रयोग हुने विशिष्ट ढाँचाहरूको उपस्थितिको लागि विश्लेषण गरिन्छ। टेम्प्लेटहरू पुष्टि गरिएको दुर्भावनापूर्ण गतिविधिको साथ 651 प्याकेटहरूको अध्ययनको आधारमा तयार गरिएको थियो।

यसले विशेषताहरू र मेटाडेटाहरू पनि पहिचान गर्दछ जसले दुरुपयोगको बढ्दो जोखिम निम्त्याउँछ, जस्तै "eval" वा "exec" मार्फत ब्लकहरू कार्यान्वयन गर्ने, चलिरहेको बेला नयाँ कोड उत्पन्न गर्ने, अस्पष्ट कोड प्रविधिहरू प्रयोग गर्ने, वातावरण चरहरू हेरफेर गर्ने, र गैर-लक्ष्य पहुँच। फाइलहरू, स्थापना लिपिहरू (setup.py) मा सञ्जाल स्रोतहरू पहुँच गर्दै, typequatting प्रयोग गर्दै (लोकप्रिय पुस्तकालयहरूको नामहरू जस्तै नामहरू तोक्ने), पुरानो र परित्याग गरिएका परियोजनाहरू पहिचान गर्ने, अवस्थित नभएका इमेलहरू र वेबसाइटहरू निर्दिष्ट गर्ने, कोडको साथ सार्वजनिक भण्डारको अभाव।

थप रूपमा, हामी PyPi भण्डारमा पाँचवटा मालिसियस प्याकेजहरूको अन्य सुरक्षा अनुसन्धानकर्ताहरूद्वारा पहिचान नोट गर्न सक्छौं, जसले AWS र निरन्तर एकीकरण प्रणालीहरूको लागि टोकनहरू चोरी गर्ने अपेक्षाको साथ बाह्य सर्भरमा वातावरणीय चरहरूको सामग्री पठाएको थियो: loglib-modules (प्रस्तुत रूपमा। वैध लगलिब लाइब्रेरीका लागि मोड्युलहरू), pyg-modules, pygrata र pygrata-utils (वैध pyg पुस्तकालयमा थपिएको रूपमा चिनिन्छ) र hkg-sol-utils।

स्रोत: opennet.ru