{"id":111737,"date":"2023-11-24T21:10:15","date_gmt":"2023-11-24T19:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov"},"modified":"2023-11-24T21:10:15","modified_gmt":"2023-11-24T19:10:15","slug":"v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/v-repozitorii-pypi-vyyavleno-okolo-5000-ostavlennyh-v-kode-sekretov-i-8-vredonosnyh-obfuskatorov","title":{"rendered":"\u00cen depozitul PyPI au fost identificate aproximativ 5000 de secrete l\u0103sate \u00een cod \u0219i 8 obfuscatori mali\u021bio\u0219i","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Cercet\u0103torii de la GitGuardian au publicat rezultatele unei analize a datelor confiden\u021biale uitate de dezvoltatori \u00een codul g\u0103zduit \u00een repositoare de pachete Python, PyPI (Python Package Index). Dup\u0103 examinarea a peste 9,5 milioane de fi\u0219iere \u0219i 5 milioane de versiuni ale pachetelor, legate de 450 de mii de proiecte, au fost identificate 56866 de cazuri de scurgere a datelor confiden\u021biale. Dac\u0103 se iau \u00een considerare doar datele unice, f\u0103r\u0103 duplicarea din versiuni diferite, num\u0103rul scurgerilor identificate a fost de 3938, iar num\u0103rul proiectelor \u00een care exist\u0103 cel pu\u021bin o scurgere este 2922. <\/p>\n

\u00cen total, au fost identificate peste 150 de tipuri de scurgeri de informa\u021bii confiden\u021biale, printre care parole obi\u015fnuite, chei criptografice, token-uri de acces la servicii cloud, sisteme de integrare continu\u0103 \u0219i API-uri. Cel pu\u021bin 768 de acreditive erau active \u00een momentul desf\u0103\u0219ur\u0103rii studiului. Printre exemplele de scurgeri populare, care r\u0103m\u00e2n relevante, se men\u021bioneaz\u0103 cheile de acces la Azure Active Directory, acreditivele pentru SSH, MongoDB, MySQL \u0219i PostgreSQL, cheile pentru GitHub OAuth App, Dropbox \u0219i Auth0, parametrii de autentificare pentru Coinbase \u0219i Twilio. <\/p>\n

Printre tipurile de scurgeri care c\u00e2\u0219tig\u0103 popularitate se num\u0103r\u0103 tokenii de acces pentru bo\u021bi \u00een Telegram, ale c\u0103ror num\u0103r s-a dublat la \u00eenceputul anului 2021 \u0219i apoi s-a dublat din nou \u00een prim\u0103vara anului 2023. O cre\u0219tere constant\u0103 a scurgerilor este, de asemenea, observat\u0103 din 2020 pentru cheile de acces la Google API, iar din 2022 pentru acreditivele de baza de date. \u00centre pachetele cu cele mai multe scurgeri se num\u0103r\u0103 pachetele chatllm \u0219i safire, \u00een care au fost uitate 209 chei pentru OpenAI \u0219i 320 chei pentru Google Cloud. <\/p>\n

Printre tipurile de fi\u0219iere \u00een care au fost identificate cele mai multe scurgeri, pe l\u00e2ng\u0103 fi\u0219ierele cu extensia .py, se num\u0103r\u0103 fi\u0219ierele cu extensia .json (610 scurgeri), .md (270), PKG-INFO (240), METADATA (210), .txt (170), precum \u0219i fi\u0219ierele README (209) \u0219i fi\u0219ierele din directoare denumite test (675). Multe scurgeri sunt, de asemenea, legate de neaten\u021bie \u0219i erori \u00een configurarea excluderii fi\u0219ierelor la formarea pachetelor. De exemplu, fi\u0219ierele cu fi\u0219ierele de configurare locale (.cookiecutterrc, .env, .pypirc etc.) pot fi excluse din repositoare Git prin intermediul fi\u0219ierului .gitignore, care nu este luat \u00een considerare la crearea pachetului. \u00cen particular, \u00een repositoare au fost g\u0103site 43 de fi\u0219iere .pypirc con\u021bin\u00e2nd acreditive pentru acces la PyPI. \u00cen 15 cazuri de scurgeri, dezvoltatorii nu au inten\u021bionat s\u0103 publice public pachete, create ini\u021bial pentru utilizare intern\u0103, dar le-au publicat pe PyPI din gre\u0219eal\u0103. <\/p>\n

De asemenea, se pot men\u021biona alte dou\u0103 evenimente legate de PyPI: <\/p>\n