{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"Ongeveer 5000 achtergelaten geheimen en 8 kwaadaardige obfuscators zijn gevonden in de PyPI-repository","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Onderzoekers van GitGuardian hebben de resultaten gepubliceerd van een analyse van vertrouwelijke gegevens die door ontwikkelaars zijn vergeten in code die is geplaatst in de Python-pakkettenrepository PyPI (Python Package Index). Na het bestuderen van meer dan 9,5 miljoen bestanden en 5 miljoen releases van pakketten, gerelateerd aan 450.000 projecten, zijn er 56.866 gevallen van datalekken ontdekt. Wanneer alleen unieke gegevens worden meegerekend, zonder duplicaten in verschillende releases, komt het aantal ontdekte datalekken uit op 3.938, en het aantal projecten waarin ten minste \u00e9\u00e9n lek aanwezig is, is 2.922. <\/p>\n

In totaal zijn er meer dan 150 typen datalekken van gevoelige informatie vastgesteld, waaronder gewone wachtwoorden, cryptografische sleutels, toegangstokens voor cloudservices, systemen voor continue integratie en API's. Minstens 768 inloggegevens waren actief op het moment van het onderzoek. Voorbeelden van populaire lekken die relevant blijven, zijn toegangssleutels voor Azure Active Directory, inloggegevens voor SSH, MongoDB, MySQL en PostgreSQL, sleutels voor GitHub OAuth App, Dropbox en Auth0, evenals inloggegevens voor Coinbase en Twilio. <\/p>\n

Onder de steeds populairder wordende soorten datalekken worden tokens voor toegang tot bots in Telegram vermeld, waarvan het aantal in het begin van 2021 verdubbelde en in het voorjaar van 2023 opnieuw verdubbelde. Een constante toename van lekken wordt ook waargenomen sinds 2020 voor toegangssleutels tot de Google API, en sinds 2022 voor inloggegevens van databases. Onder de pakketten die een groot aantal lekken vertonen, worden de pakketten chatllm en safire genoemd, waarin 209 sleutels van OpenAI en 320 sleutels van Google Cloud zijn vergeten. <\/p>\n

Onder de bestandstypen waarin het meeste aantal lekken is vastgesteld, naast bestanden met de extensie .py, zijn er bestanden met de extensie .json (610 lekken), .md (270), PKG-INFO (240), METADATA (210), .txt (170), evenals README-bestanden (209) en bestanden uit mappen met de naam test (675). Veel lekken zijn ook gerelateerd aan nalatigheid en fouten bij het instellen van het uitsluiten van bestanden bij het maken van pakketten. Bijvoorbeeld, bestanden met lokale configuratiebestanden (.cookiecutterrc, .env, .pypirc, enz.) kunnen uit de Git-repository worden uitgesloten via het bestand .gitignore, dat niet wordt meegenomen bij het maken van een pakket. Concreet zijn er in de repository 43 .pypirc-bestanden gevonden die inloggegevens voor toegang tot PyPI bevatten. In 15 gevallen van lekken was het de bedoeling van de ontwikkelaars niet om de pakketten openbaar te maken, oorspronkelijk gemaakt voor intern gebruik, maar hebben ze deze per ongeluk gepubliceerd in PyPI. <\/p>\n

Daarnaast kunnen nog twee gebeurtenissen met PyPI worden vermeld: <\/p>\n