🥇पाइथन प्याकेज Js2Py मा जोखिम, महिनामा दस लाख भन्दा बढी पटक डाउनलोड गरिएको

Js2Py पाइथन प्याकेज, जुन गत महिना 1.2 मिलियन पटक डाउनलोड गरिएको थियो, एउटा जोखिम (CVE-2024-28397) छ जसले यसलाई विशेष रूपमा ढाँचा गरिएको JavaScript डाटा प्रशोधन गर्दा स्यान्डबक्स अलगावलाई बाइपास गर्न र प्रणालीमा कोड कार्यान्वयन गर्न अनुमति दिन्छ। जोखिमलाई JavaScript कोड कार्यान्वयन गर्न Js2Py प्रयोग गर्ने कार्यक्रमहरूलाई आक्रमण गर्न प्रयोग गर्न सकिन्छ। फिक्स हाल प्याचको रूपमा मात्र उपलब्ध छ। आक्रमणको सम्भावना परीक्षण गर्न एक्स्प्लोइट प्रोटोटाइप तयार गरिएको छ।

Js2Py प्याकेजले जाभास्क्रिप्ट दोभाषे र अनुवादक लागू गर्दछ जसले जाभास्क्रिप्ट कोडलाई पृथक वातावरणमा कार्यान्वयन गर्न अनुमति दिन्छ। भर्चुअल मेसिन वा जाभास्क्रिप्टलाई पाइथन प्रतिनिधित्वमा अनुवाद गर्नुहोस्। यो परियोजना पूर्णतया पाइथनमा लेखिएको छ र तेस्रो-पक्ष जाभास्क्रिप्ट इन्जिनहरू प्रयोग गर्दैन। अभ्यासमा, पुस्तकालय विभिन्न वेब अनुक्रमणिकाहरू, डाउनलोड प्रणालीहरू, र साइट विश्लेषकहरूमा प्रयोग गरिन्छ जसले जाभास्क्रिप्ट कोडद्वारा उत्पन्न सामग्री प्रशोधन गर्न समर्थन गर्दछ।

जोखिमबाट प्रभावित अनुप्रयोगहरू मध्ये Lightnovel Crawler (अनलाइन सेवाहरूबाट पुस्तकहरू डाउनलोड गर्न र तिनीहरूलाई अफलाइन पढ्नको लागि विभिन्न ढाँचाहरूमा बचत गर्नको लागि एक उपयोगिता), क्लाउडस्क्रेपर (क्लाउडफ्लेयर CDN मा प्रयोग हुने बोट सुरक्षा पृष्ठहरू स्वचालित रूपमा बाइपास गर्ने) र पाइलोड (डाउनलोड प्रबन्धक, जसले समर्थन गर्दछ। प्रशोधन पृष्ठहरू JavaScript मा उत्पन्न)। यी अनुप्रयोगहरूमा विशेष रूपमा डिजाइन गरिएको JavaScript सामग्री प्रशोधन गर्दा, आक्रमणकर्ताले प्रणाली स्तरमा स्वेच्छाचारी कोडको कार्यान्वयन हासिल गर्न सक्छ।

कमजोरी js2py भित्रको ग्लोबल चरको कार्यान्वयनमा अवस्थित छ, जसले तपाईंलाई पाइथन वस्तुहरूको आयात असक्षम गर्न js2py.disable_pyimport() विधिलाई कल गर्दा पनि स्यान्डबक्स गरिएको वातावरणमा चलिरहेको JavaScript कोडबाट पाइथन वस्तुको सन्दर्भ प्राप्त गर्न अनुमति दिन्छ। । प्रणालीमा स्वैच्छिक कोड कार्यान्वयन गर्न, आक्रमणकर्ताले पाइथन सबप्रोसेस मोड्युलबाट पोपेन वस्तुमा पहुँच प्राप्त गर्न भेद्यता प्रयोग गर्न सक्छ। उल्लेखनीय छ कि जोखिम उन्मूलन गर्न परिवर्तन जेएसटूपी परियोजनामा मार्च १ मा पठाइएको थियो, तर साढे तीन महिनासम्म स्वीकार भएन।

स्रोत: opennet.ru

Python प्याकेज Js2Py मा कमजोरी, एक महिनामा एक लाख भन्दा बढी पटक डाउनलोड