{"id":117354,"date":"2024-07-12T09:43:01","date_gmt":"2024-07-12T07:43:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python"},"modified":"2024-07-12T09:43:01","modified_gmt":"2024-07-12T07:43:01","slug":"utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","status":"publish","type":"post","link":"https:\/\/prohoster.info\/no\/blog\/news\/utechka-tokena-dlya-polnogo-dostupa-k-github-repozitoriyam-proekta-python","title":{"rendered":"Token for full tilgang til GitHub-repositorier for Python-prosjektet lekket","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forskere fra JFrog har oppdaget en token i Docker-bildet «cabotage-app» som gir administratorrettigheter til Python-repositorier, PyPI og Python Software Foundation p\u00e5 GitHub. Tokenet ble funnet i den bin\u00e6re filen «__pycache__\/build.cpython-311.pyc» med forh\u00e5ndsbufferet kompilert bytekode.
<\/center> <\/p>\n
If\u00f8lgje representantar fr\u00e5 PyPI-repositoriet vart tokenet oppretta i 2023 for utviklaren ewdurbin (Ee Durbin), som held stillinga som infrastruktur-sjef i Python Software Foundation. Tokenet gav administrativ tilgang til alle repositorium og organisasjonar i prosjektet, inkludert alle repositorium til organisasjonane pypi, python, psf og pypa. Det problematiske Docker-biletet med tokenet vart publisert i Docker Hub-katalogen den 3. mars 2023, og fjerna den 11. juni 2024, det vil seie at det var tilgjengeleg i 16 m\u00e5nader. P\u00e5 den 28. juni vart tokenet tilbakekalla. <\/p>\n
Det er bemerkelsesverdig at det ikke finnes noe omtale av tokenet i de tilgjengelige kildekodene som ble brukt til \u00e5 generere den problematiske bytekode-filen. Kodeforfatteren forklarte at han under utviklingen av cabotage-app5 p\u00e5 sin lokale maskin st\u00f8tte p\u00e5 begrensninger i tilgangshastigheten til GitHub API mens han utf\u00f8rte funksjonen for automatisert filopplasting fra GitHub, og for \u00e5 omg\u00e5 begrensningene for anonyme foresp\u00f8rsel til GitHub, la han midlertidig til sin arbeids-token i koden. F\u00f8r publisering av den skrevne koden ble tokenet fjernet, men utvikleren glemte at omtalen av tokenet ble buffret i den forh\u00e5ndskompliserte bytekode-filen som deretter havnet i docker-bildet. def _fetch_github_file( — github_repository=»owner\/repo», ref=»main», access_token=None, filename=»Dockerfile» + github_repository=»owner\/repo», + ref=»main», + access_token=»0d6a9bb5af126f73350a2afc058492765446aaad», + filename=»Dockerfile», ): <\/p>\n
En granskning av aktiviteten i GitHub-repositoriar av utviklarane i Python avdekte inga tredjeparts fors\u00f8k p\u00e5 tilgang ved hjelp av det avdekka tokenet. Gitt at GitHub har vore den prim\u00e6re plattforma for utvikling av CPython sidan 2017, kunne det \u00e5 f\u00e5 tokenet i hendene til ondsinna akt\u00f8rar f\u00f8rt til fullstendig kompromittering av infrastrukturen brukt til utvikling av Python og repositoriet PyPI, samt moglegheita for \u00e5 fors\u00f8ka \u00e5 integrere bakd\u00f8rer i CPython og pakkeh\u00e5ndteraren PyPI. <\/p>\n
Hendelsen viser viktigheten av \u00e5 analysere lekkasjer ikke bare i kildekode, konfigurasjonsfiler og milj\u00f8variabler, men ogs\u00e5 i bin\u00e6rfiler. I konteksten av Python anbefales det ogs\u00e5 at brukere er oppmerksomme p\u00e5 tilstedev\u00e6relsen av pyc-filer med kompilert bytekode i de lastede prosjektene, da disse filene kan inneholde skjulte modifikasjoner som mangler i kildekoden. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Token](\"\/wp-content\/uploads\/2024\/07\/995cd4986ccb553d612c78345dfec4ad.png\")
<\/center> <\/p>\n