{"id":117354,"date":"2024-07-12T09:43:01","date_gmt":"2024-07-12T07:43:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python"},"modified":"2024-07-12T09:43:01","modified_gmt":"2024-07-12T07:43:01","slug":"utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","title":{"rendered":"Token voor volledige toegang tot GitHub-repositories van het Python-project gelekt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Onderzoekers van JFrog hebben in de Docker-image 'cabotage-app' een token ontdekt dat administratieve toegang verleent tot de Python-repositories, PyPI en de Python Software Foundation op GitHub. Het token werd gevonden in het binaire bestand '__pycache__\/build.cpython-311.pyc' met gecachte, gecompileerde bytecode.
<\/center> <\/p>\n
Volgens vertegenwoordigers van de PyPI-repository werd de token in 2023 aangemaakt voor ontwikkelaar ewdurbin (Ee Durbin), die als directeur infrastructuur werkzaam is bij de Python Software Foundation. De token verleende beheerdersrechten tot alle repositories en organisaties van het project, inclusief alle repositories van de organisaties pypi, python, psf en pypa. De problematische Docker-image met de token werd op 3 maart 2023 gepubliceerd in de Docker Hub-directory en werd op 11 juni 2024 verwijderd, oftewel 16 maanden was deze openbaar toegankelijk. De token werd op 28 juni ingetrokken. <\/p>\n
Opmerkelijk is dat in de beschikbare sourcecodes, waarop het problematische bestand met bytecode is gebaseerd, geen vermelding van het token voorkomt. De auteur van de code legde uit dat hij tijdens de ontwikkeling van de cabotage-app5-oplossing op zijn lokale systeem te maken kreeg met beperkingen in de toegang tot de GitHub API bij het uitvoeren van de functie voor het geautomatiseerd uploaden van bestanden vanuit GitHub, en om de limieten die voor anonieme verzoeken naar GitHub werden gesteld te omzeilen, voegde hij tijdelijk zijn werk-token toe aan de code. Voordat hij de geschreven code publiceerde, werd het token verwijderd, maar de ontwikkelaar hield er geen rekening mee dat de vermelding van het token was gecashed in het voorgecompileerde bestand met bytecode, dat vervolgens in de docker-image terechtkwam. def _fetch_github_file( \u2014 github_repository='owner\/repo', ref='main', access_token=None, filename='Dockerfile' + github_repository='owner\/repo', + ref='main', + access_token='0d6a9bb5af126f73350a2afc058492765446aaad', + filename='Dockerfile', ): <\/p>\n
Een audit van de activiteit in de repositories op GitHub door de ontwikkelaars van Python heeft geen pogingen tot ongeautoriseerde toegang met de openbaar gemaakte token aangetoond. Aangezien GitHub sinds 2017 het primaire platform is voor de ontwikkeling van CPython, had de token in handen van kwaadwillenden kunnen leiden tot een volledige compromittering van de infrastructuur die wordt gebruikt voor de ontwikkeling van Python en de PyPI-repository, en tot pogingen om backdoors in CPython en de package manager PyPI te integreren. <\/p>\n
Het incident benadrukt het belang van het analyseren van lekken, niet alleen in de broncode, configuratiebestanden en omgevingsvariabelen, maar ook in binaire bestanden. In de context van Python wordt gebruikers ook aangeraden om acht te slaan op de aanwezigheid van pyc-bestanden met gecompileerde bytecode in geladen projecten, aangezien deze bestanden verborgen wijzigingen kunnen bevatten die ontbreken in de broncode. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Token](\"\/wp-content\/uploads\/2024\/07\/995cd4986ccb553d612c78345dfec4ad.png\")
<\/center> <\/p>\n