De auteur van mitmproxy, een tool voor het analyseren van HTTP/HTTPS-verkeer, merkte op dat er een forking van zijn project in de Python-pakketten catalogus PyPI (Python Package Index) was verschenen. De fork werd verspreid onder een vergelijkbare naam mitmproxy2 en een niet-bestaande versie 8.0.1 (de actuele release van mitmproxy is 7.0.4) met de bedoeling dat onoplettende gebruikers het pakket als een nieuwe editie van het hoofdproject zouden beschouwen (typische misleiding) en de nieuwe versie zouden willen uitproberen.
Inhoudelijk was mitmproxy2 gelijk aan mitmproxy, afgezien van aanpassingen die schadelijke functionaliteit implementeerden. De aanpassingen hielden in dat de HTTP-header ‘X-Frame-Options: DENY’, die het verwerken van inhoud binnen een iframe verbiedt, niet meer werd ingesteld, bovendien werd de bescherming tegen XSRF-aanvallen uitgeschakeld en werden de headers ‘Access-Control-Allow-Origin: *’, ‘Access-Control-Allow-Headers: *’ en ‘Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS’ ingesteld.
De genoemde wijzigingen verwijderden de toegangsbeperkingen tot de HTTP API, die gebruikt wordt voor het beheren van mitmproxy via de webinterface, wat het voor elke kwaaddoener binnen hetzelfde lokale netwerk mogelijk maakte om hun code op het systeem van de gebruiker uit te voeren door een HTTP-verzoek te sturen.
De administratie van de catalogus was het ermee eens dat de aangebrachte wijzigingen als schadelijk konden worden geïnterpreteerd en het pakket zelf als een poging om een ander product onder de vlag van het hoofdproject te promoten (in de beschrijving van het pakket werd beweerd dat het een nieuwe versie van mitmproxy was en geen fork). Na de verwijdering van het pakket uit de catalogus werd de volgende dag een nieuw pakket mitmproxy-iframe op PyPI geplaatst, waarvan de beschrijving ook volledig overeenkwam met die van het officiële pakket. Momenteel is ook het pakket mitmproxy-iframe uit de PyPI-catalogus verwijderd.
Bron: opennet.ru
