Token for full tilgang til GitHub-repositorier for Python-prosjektet lekket

Forskarar frå JFrog har oppdaga eit token i Docker-bilete «cabotage-app», som gir administrativ tilgang til Python-, PyPI- og Python Software Foundation-repositoriar på GitHub. Tokenet vart funne i den binære fila «__pycache__/build.cpython-311.pyc» med forhåndsbufra kompilert bytekode.

Ifølgje representantar frå PyPI-repositoriet vart tokenet oppretta i 2023 for utviklaren ewdurbin (Ee Durbin), som held stillinga som infrastruktur-sjef i Python Software Foundation. Tokenet gav administrativ tilgang til alle repositorium og organisasjonar i prosjektet, inkludert alle repositorium til organisasjonane pypi, python, psf og pypa. Det problematiske Docker-biletet med tokenet vart publisert i Docker Hub-katalogen den 3. mars 2023, og fjerna den 11. juni 2024, det vil seie at det var tilgjengeleg i 16 månader. På den 28. juni vart tokenet tilbakekalla.

Det er bemerkelsesverdig at det ikkje er noko omtale av tokenet i dei tilgjengelege kjeldekodane som filen med bytekode vart generert frå. Kodeforfattaren forklarte at han, i løpet av utviklinga av verktøyet cabotage-app5, støtt på begrensingar i tilgangen til GitHub API på sitt lokale system når han utførte den automatiserte opplastinga av filer frå GitHub, og for å omgå limitane for anonyme førespurnader til GitHub, midlertidig la til sitt arbeids-token i koden. Før publisering av koden vart tokenet fjerna, men utviklaren tok ikkje høgd for at omtalen av tokenet var bufra i den forhånds-kompilerte fila med bytekode, som deretter kom inn i Docker-biletet. def _fetch_github_file( — github_repository=»owner/repo», ref=»main», access_token=None, filename=»Dockerfile» + github_repository=»owner/repo», + ref=»main», + access_token=»0d6a9bb5af126f73350a2afc058492765446aaad», + filename=»Dockerfile», ):

En granskning av aktiviteten i GitHub-repositoriar av utviklarane i Python avdekte inga tredjeparts forsøk på tilgang ved hjelp av det avdekka tokenet. Gitt at GitHub har vore den primære plattforma for utvikling av CPython sidan 2017, kunne det å få tokenet i hendene til ondsinna aktørar ført til fullstendig kompromittering av infrastrukturen brukt til utvikling av Python og repositoriet PyPI, samt moglegheita for å forsøka å integrere bakdører i CPython og pakkehåndteraren PyPI.

Hendelsen viser viktigheten av å analysere lekkasjer ikke bare i kildekode, konfigurasjonsfiler og miljøvariabler, men også i binærfiler. I konteksten av Python anbefales det også at brukere er oppmerksomme på tilstedeværelsen av pyc-filer med kompilert bytekode i de lastede prosjektene, da disse filene kan inneholde skjulte modifikasjoner som mangler i kildekoden.

Kilde: opennet.ru