ProHoster > Blog > lajme në internet > Depoja e PyPI zbuloi rreth 5000 sekrete të mbetura në kod dhe 8 pengues keqdashës

Depoja e PyPI zbuloi rreth 5000 sekrete të mbetura në kod dhe 8 pengues keqdashës

Studiuesit e GitGuardian kanë publikuar rezultatet e analizës së tyre të të dhënave konfidenciale të lëna nga zhvilluesit në kodin e vendosur në depo Python Package Index (PyPI). Pas shqyrtimit të mbi 9.5 milionë skedarëve dhe 5 milionë publikimeve të paketave të lidhura me 450 projekte, ata identifikuan 56866 rrjedhje të të dhënave konfidenciale. Duke marrë parasysh vetëm të dhënat unike, duke përjashtuar dyfishimin nëpër publikime, numri i rrjedhjeve të identifikuara ishte 3938, dhe numri i projekteve që përmbanin të paktën një rrjedhje ishte 2922.

Në total, u identifikuan mbi 150 lloje rrjedhjesh informacioni konfidencial, duke përfshirë fjalëkalime të zakonshme, çelësa kriptografikë, tokena aksesi për shërbimet cloud, sisteme integrimi të vazhdueshëm dhe API. Të paktën 768 kredenciale mbetën të vlefshme në kohën e studimit. Shembuj të rrjedhjeve të zakonshme që mbeten të vlefshme përfshijnë çelësat e aksesit të Azure Active Directory, kredencialet SSH, MongoDB, MySQL dhe PostgreSQL, çelësat GitHub OAuth App, Dropbox dhe Auth0, si dhe kredencialet e hyrjes në Coinbase dhe Twilio.

Ndër llojet gjithnjë e më të zakonshme të rrjedhjeve të të dhënave, janë përmendur tokenët e aksesit të robotëve të Telegramit, me numrin e të cilëve është dyfishuar në fillim të vitit 2021 dhe më pas është dyfishuar përsëri në pranverën e vitit 2023. Një rritje e vazhdueshme e rrjedhjeve të të dhënave është regjistruar gjithashtu për çelësat e aksesit të API-t të Google që nga viti 2020, dhe për kredencialet e sistemit të menaxhimit të bazës së të dhënave që nga viti 2022. Ndër paketat që rrjedhën më shpesh, u përmendën paketat chatllm dhe safire, me 209 çelësa OpenAI dhe 320 çelësa Google Cloud që rrjedhën.

Përveç skedarëve me prapashtesën ".py", llojet e skedarëve me më shumë rrjedhje përfshinin .json (610 rrjedhje), .md (270), PKG-INFO (240), METADATA (210), .txt (170), skedarët README (209) dhe skedarët nga drejtoritë me emrin test (675). Shumë rrjedhje ishin gjithashtu për shkak të mbikëqyrjeve dhe gabimeve në cilësimet e përjashtimit të skedarëve gjatë krijimit të paketave. Për shembull, skedarët me skedarë konfigurimi lokalë (.cookiecutterrc, .env, .pypirc, etj.) mund të përjashtohen nga një depo Git nëpërmjet skedarit ".gitignore", i cili nuk merret parasysh kur krijohet një paketë. Në veçanti, 43 skedarë .pypirc u gjetën në depo, që përmbanin kredenciale për qasje në PyPI. Në 15 raste rrjedhjesh, zhvilluesit nuk kishin ndërmend të publikonin paketat e krijuara fillimisht për përdorim të brendshëm, por i publikuan ato në PyPI gabimisht.

Përveç kësaj, ia vlen të përmenden dy ngjarje të tjera që lidhen me PyPI-n:

  • TetĂ« paketa keqdashĂ«se u zbuluan nĂ« depon PyPI, tĂ« cilat pretendonin tĂ« ishin mjete pĂ«r errĂ«simin e kodit ose errĂ«simin e kodit, duke e bĂ«rĂ« tĂ« vĂ«shtirĂ« rindĂ«rtimin e algoritmit themelor. Paketat e zbuluara pĂ«rmbanin vargun "pyobf" nĂ« emrat e tyre (Pyobftoexe, Pyobfusfile, Pyobfexecute, Pyobfpremium, Pyobflight, Pyobfadvance, Pyobfuse dhe pyobfgood) dhe ishin shkarkuar mbi 2000 herĂ«.

    Kodi keqdashës i integruar në paketa ishte specifik për platformën Windows dhe lejoi lidhjen me një kontroll të jashtëm server, ekzekutojnë komanda arbitrare në kompjuterin e zhvilluesit, gjejnë dhe dërgojnë informacione të ndjeshme, siç janë çelësat e qasjes, në një server të jashtëm dhe transferojnë skedarë arbitrarë nga sistemi. Për më tepër, kodi keqdashës mund të veprojë si një regjistrues çelësash, të ndërpresë fjalëkalimet e futura në Chrome, të krijojë pamje të ekranit, të regjistrojë audio dhe madje të kontrollojë kamerën e internetit.

  • Rezultatet e njĂ« auditimi tĂ« pavarur tĂ« bazĂ«s sĂ« kodit tĂ« mjeteve tĂ« pĂ«rdorura pĂ«r tĂ« menaxhuar depon pypi.org dhe kornizĂ«n "kabotazh", e cila fuqizon infrastrukturĂ«n e orkestrimit tĂ« kontejnerĂ«ve, janĂ« publikuar. Auditimi u krye me mbĂ«shtetjen e organizatĂ«s jofitimprurĂ«se OTF (Fondi i TeknologjisĂ« sĂ« Hapur). Auditimi nuk identifikoi probleme me rĂ«ndĂ«si tĂ« lartĂ« dhe u gjet se kodi burimor pĂ«rmbushte kĂ«rkesat themelore pĂ«r kodim tĂ« sigurt. MegjithatĂ«, u vu re mbulim i pamjaftueshĂ«m i testimit tĂ« bazĂ«s sĂ« kodit tĂ« kabotazhit dhe u identifikuan 29 probleme, tetĂ« prej tĂ« cilave u vlerĂ«suan si tĂ« moderuara, gjashtĂ« si tĂ« ulĂ«ta dhe 14 si kĂ«shilluese.

    Çështjet mĂ« tĂ« spikatura janĂ«:

    • Validimi i pamjaftueshĂ«m i nĂ«nshkrimeve dixhitale tĂ« pĂ«rdorura pĂ«r tĂ« integruar PyPI me AWS SNS lejoi qĂ« njoftimet me email t'u dĂ«rgoheshin pĂ«rdoruesve individualĂ«.
    • NjĂ« rrjedhje informacioni nĂ« trajtuesin e shkarkimeve lejon qĂ« ekzistenca e njĂ« llogarie tĂ« pĂ«rcaktohet pa gjeneruar ngjarje tĂ« ngjarjes sĂ« hyrjes.
    • PĂ«rdorimi i hash-eve tĂ« dobĂ«ta kriptografike qĂ« nuk pĂ«rjashtojnĂ« sulmet e helmimit tĂ« memorjes cache.
    • Me lejen pĂ«r tĂ« ekzekutuar proceset e ndĂ«rtimit nĂ«pĂ«rmjet kabotazhit, njĂ« sulmues mund tĂ« arrijĂ« zĂ«vendĂ«simin e komandĂ«s.
    • Me tĂ« drejtat e vendosjes nĂ« kabotazh, njĂ« sulmues mund tĂ« vendosĂ« potencialisht njĂ« imazh qĂ« duket legjitim.

Burimi: opennet.ru

Bleni njĂ« host tĂ« besueshĂ«m pĂ«r faqet me mbrojtje DDoS, serverĂ« VPS VDS đŸ”„ Bleni hosting tĂ« besueshĂ«m tĂ« faqeve tĂ« internetit me mbrojtje DDoS, servera VPS VDS | ProHoster