Autorul mitmproxy, instrumentul pentru analiza traficului HTTP/HTTPS, a observat apariția în catalogul pachetelor Python PyPI (Python Package Index) a unui fork al proiectului său. Fork-ul era distribuit sub un nume asemănător mitmproxy2 și o versiune inexistentă 8.0.1 (versiunea actuală a mitmproxy este 7.0.4) cu scopul ca utilizatorii neatenți să perceapă pachetul ca o nouă ediție a proiectului principal (typosquatting) și să dorească să încerce noua versiune.
Din punct de vedere al compoziției, mitmproxy2 era similar cu mitmproxy, cu excepția modificărilor care implementau funcționalitate malițioasă. Modificările constau în renunțarea la setarea header-ului HTTP „X-Frame-Options: DENY”, care interzice procesarea conținutului în interiorul iframe, dezactivarea protecției împotriva atacurilor XSRF și setarea header-elor „Access-Control-Allow-Origin: *”, „Access-Control-Allow-Headers: *” și „Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS”.
Modificările menționate eliminau restricțiile de acces la API-ul HTTP folosit pentru a controla mitmproxy prin interfața web, permițând oricărui atacator aflat în aceeași rețea locală să execute codul său pe sistemul utilizatorului prin trimiterea unei cereri HTTP.
Administrația catalogului a fost de acord că modificările efectuate pot fi considerate malițioase, iar pachetul în sine o încercare de promovare a unui alt produs sub masca proiectului principal (în descrierea pachetului se afirma că este o nouă versiune a mitmproxy și nu un fork). După ce pachetul a fost eliminat din catalog, a doua zi în PyPI a fost încărcat un nou pachet mitmproxy-iframe, a cărui descriere coincide complet cu cea a pachetului oficial. În prezent, pachetul mitmproxy-iframe a fost, de asemenea, eliminat din catalogul PyPI.
Sursa: opennet.ro
