{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"W repozytorium PyPI znaleziono oko\u0142o 5000 pozostawionych w kodzie sekret\u00f3w oraz 8 z\u0142o\u015bliwych obfuskator\u00f3w","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Badacze GitGuardian opublikowali wyniki analizy poufnych danych, kt\u00f3re programi\u015bci zapomnieli umie\u015bci\u0107 w kodzie opublikowanym w repozytorium pakiet\u00f3w Python PyPI (Python Package Index). Po przebadaniu ponad 9,5 mln plik\u00f3w i 5 mln wyda\u0144 pakiet\u00f3w, zwi\u0105zanych z 450 tysi\u0105cami projekt\u00f3w, zidentyfikowano 56866 przypadk\u00f3w wycieku danych. Je\u015bli uwzgl\u0119dnimy tylko unikalne dane, bez duplikacji w r\u00f3\u017cnych wydaniach, liczba zidentyfikowanych wyciek\u00f3w wynios\u0142a 3938, a liczba projekt\u00f3w, w kt\u00f3rych znajduje si\u0119 przynajmniej jeden wyciek \u2014 2922. <\/p>\n

Ca\u0142kowicie zidentyfikowano ponad 150 typ\u00f3w wyciek\u00f3w poufnych informacji, w tym typowe has\u0142a, klucze kryptograficzne, tokeny dost\u0119pu do us\u0142ug chmurowych, system\u00f3w ci\u0105g\u0142ej integracji i API. Co najmniej 768 danych uwierzytelniaj\u0105cych pozostawa\u0142o aktywnych w momencie przeprowadzania bada\u0144. Jako przyk\u0142ad popularnych wyciek\u00f3w, kt\u00f3re nadal s\u0105 istotne, wspomina si\u0119 klucze dost\u0119pu do Azure Active Directory, dane logowania do SSH, MongoDB, MySQL i PostgreSQL, klucze do GitHub OAuth App, Dropbox i Auth0, oraz dane logowania do Coinbase i Twilio. <\/p>\n

W\u015br\u00f3d rosn\u0105cych rodzaj\u00f3w wyciek\u00f3w wspomina si\u0119 o tokenach dost\u0119pu do bot\u00f3w w Telegramie, kt\u00f3rych liczba podwoi\u0142a si\u0119 na pocz\u0105tku 2021 roku, a nast\u0119pnie jeszcze raz podwoi\u0142a si\u0119 na wiosn\u0119 2023 roku. Nieprzerwany wzrost wyciek\u00f3w jest r\u00f3wnie\u017c rejestrowany od 2020 roku dla kluczy dost\u0119pu do Google API, a od 2022 roku \u2014 dla danych logowania do system\u00f3w bazodanowych. W\u015br\u00f3d pakiet\u00f3w, kt\u00f3re przoduj\u0105 pod wzgl\u0119dem liczby wyciek\u00f3w, wyr\u00f3\u017cniaj\u0105 si\u0119 pakiety chatllm i safire, w kt\u00f3rych zapomniano 209 kluczy do OpenAI i 320 kluczy do Google Cloud. <\/p>\n

W\u015br\u00f3d typ\u00f3w plik\u00f3w, w kt\u00f3rych zidentyfikowano najwi\u0119ksz\u0105 liczb\u0119 wyciek\u00f3w, opr\u00f3cz plik\u00f3w z rozszerzeniem .py, wyr\u00f3\u017cniaj\u0105 si\u0119 pliki z rozszerzeniem .json (610 wyciek\u00f3w), .md (270), PKG-INFO (240), METADATA (210), .txt (170), a tak\u017ce pliki README (209) oraz pliki z katalog\u00f3w nosz\u0105cych nazw\u0119 test (675). Wiele wyciek\u00f3w jest r\u00f3wnie\u017c zwi\u0105zanych z niedopatrzeniami i b\u0142\u0119dami podczas konfigurowania wykluczenia plik\u00f3w przy tworzeniu pakiet\u00f3w. Na przyk\u0142ad, pliki z lokalnymi plikami konfiguracyjnymi (.cookiecutterrc, .env, .pypirc itp.) mog\u0105 by\u0107 wykluczane z repozytorium Git za pomoc\u0105 pliku .gitignore, kt\u00f3ry nie jest brany pod uwag\u0119 podczas tworzenia pakietu. W szczeg\u00f3lno\u015bci w repozytorium znaleziono 43 pliki .pypirc, zawieraj\u0105ce dane logowania do PyPI. W 15 przypadkach wyciek\u00f3w programi\u015bci nie planowali publicznego udost\u0119pnienia pakiet\u00f3w, kt\u00f3re zosta\u0142y pierwotnie stworzone do u\u017cytku wewn\u0119trznego, ale opublikowali je w PyPI przez pomy\u0142k\u0119. <\/p>\n

Dodatkowo warto wspomnie\u0107 o dw\u00f3ch wydarzeniach zwi\u0105zanych z PyPI: <\/p>\n