{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46% Python paketov v repozitoriju PyPI vsebuje potencialno nevarno kodo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Grupa raziskovalcev z Univerze Turku (Finska) je objavila rezultate analize paketov v repozitoriju PyPI glede uporabe potencialno nevarnih konstrukcij, ki lahko privedejo do ranljivosti. Med analizo 197 tiso\u010d paketov je bilo odkritih 749 tiso\u010d potencialnih varnostnih te\u017eav. V 46% paketov je prisotna vsaj ena tak\u0161na te\u017eava. Med najpogostej\u0161imi te\u017eavami so pomanjkljivosti, povezane z obravnavo izjem in uporabo konstrukcij, ki omogo\u010dajo injektiranje kode. <\/p>\n
Od 749 tiso\u010d odkritih te\u017eav je 442 tiso\u010d (41 %) ozna\u010denih kot nepomembne, 227 tiso\u010d (30 %) kot te\u017eave z zmerno nevarnostjo in 80 tiso\u010d (11 %) kot nevarne. Nekateri paketi izstopajo iz povpre\u010dja in vsebujejo tiso\u010de te\u017eav: na primer, v paketu PyGGI je bilo odkritih 2589 te\u017eav, ve\u010dinoma povezanih z uporabo konstrukcije \u201etry-except-pass\u201c, v paketu appengine-sdk pa 2356 te\u017eav. Veliko te\u017eav je prisotnih tudi v paketih genie.libs.ops, pbcore in genie.libs.parser. <\/p>\n
Treba je opozoriti, da so rezultati pridobljeni na podlagi avtomatizirane stati\u010dne analize, ki ne upo\u0161teva konteksta uporabe dolo\u010denih konstrukcij. Razvijalec orodja bandit, ki je bilo uporabljeno za skeniranje kode, je izrazil mnenje, da zaradi precej\u0161njega \u0161tevila napa\u010dnih pozitivnih rezultatov rezultati pregleda ne morejo biti neposredno razumljeni kot ranljivosti brez dodatnega ro\u010dnega pregleda vsake te\u017eave. <\/p>\n
Na primer, analitska orodja smatrajo uporabo nezanesljivih generatorjev naklju\u010dnih \u0161tevil in algoritmov za he\u0161iranje, kot je MD5, za varnostno te\u017eavo, medtem ko se v kodi lahko uporabljajo za namene, ki ne vplivajo na varnost. Analizator prav tako \u0161teje za te\u017eavo kakr\u0161no koli obravnavo zunanjih podatkov v nevarnih funkcijah, kot so pickle, yaml.load, subprocess in eval, vendar ta uporaba ne pomeni nujno nastanka ranljivosti, in v praksi se lahko omenjene funkcije uporabljajo brez varnostnih gro\u017eenj. <\/p>\n
Med preverjanji, uporabljenimi v \u0161tudiji: <\/p>\n
\n
Uporaba potencialno nevarnih funkcij exec, mktemp, eval, mark_safe itd.\n
Priklju\u010ditev omre\u017enih soketov na vse omre\u017ene vmesnike.\n
Uporaba trdo kodiranih gesel in klju\u010dev v kodi.\n
Uporaba vnaprej dolo\u010denega za\u010dasnega imenika.\n
Uporaba pass in continue v obdelovalcih izjem catch-all-style;\n
Zagon spletnih aplikacij na podlagi spletnega ogrodja Flask z vklopljenim na\u010dinom odpravljanja napak.\n
Uporaba nevarnih metod deserializacije podatkov.\n
Uporaba hash funkcij MD2, MD4, MD5 in SHA1.\n
Uporaba nevarnih \u0161ifrirnih metod DES in na\u010dinov \u0161ifriranja.\n
Uporaba nevarne implementacije HTTPSConnection v nekaterih razli\u010dicah Pythona.\n
Navedba sheme file:\/\/ v urlopen.\n
Uporaba generatorjev psevdonaslju\u010dnih \u0161tevil pri izvajanju kriptografskih nalog.\n
Uporaba protokola Telnet.\n
Uporaba nevarnih XML parserjev. <\/ul>\n
Dodatno lahko omenimo, da je bilo v imeniku PyPI odkrito 8 zlonamernih paketov. Pred izbrisom so problemati\u010dni paketi uspeli prenesti ve\u010d kot 30 tiso\u010d krat. Za prikrivanje zlonamerne aktivnosti in obvladovanje opozoril preprostih stati\u010dnih analizatorjev je bilo v paketih uporabljeno kodiranje blokov s kodo z uporabo Base64 in organizacija izvajanja po dekodiranju preko klica eval. <\/p>\n
V paketih noblesse, genesisbot, are, suffer, noblesse2 in noblessev2 je bil odkrit koda za prestrezanje \u0161tevilk kreditnih kartic in gesel, shranjenih v brskalnikih Chrome in Edge, prav tako za prenos ra\u010dunovskih \u017eetonov iz aplikacije Discord in po\u0161iljanje podatkov o sistemu, vklju\u010dno s posnetki zaslona. V paketih pytagora in pytagora2 je bila prisotna mo\u017enost prena\u0161anja in izvajanja tretje stranske izvr\u0161ljive kode. \n Izvor: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"