K\u00ebrkuesit nga kompania JFrog zbuluan n\u00eb p\u00ebrmbajtjen e imazhit Docker 'cabotage-app' nj\u00eb token, i cili ofron qasje me t\u00eb drejta administratori n\u00eb repository-t Python, PyPI dhe Python Software Foundation n\u00eb GitHub. Tokeni u gjet n\u00eb skedarin binar '__pycache__\/build.cpython-311.pyc' me kodin e kompiluara t\u00eb ruajtur.
<\/center> <\/p>\n
Sipas p\u00ebrfaq\u00ebsuesve t\u00eb depozit\u00ebs PyPI, tokeni u krijua n\u00eb vitin 2023 p\u00ebr zhvilluesin ewdurbin (Ee Durbin), i cili mban pozitat e drejtorit t\u00eb infrastruktur\u00ebs n\u00eb organizat\u00ebn Python Software Foundation. Tokeni ofronte qasje me t\u00eb drejta administratori n\u00eb t\u00eb gjitha depozit\u00eb dhe organizata t\u00eb projektit, p\u00ebrfshir\u00eb t\u00eb gjitha depozit\u00eb t\u00eb organizatave pypi, python, psf dhe pypa. Imazhi problematik Docker me tokenin u publikua n\u00eb katalogun Docker Hub m\u00eb 3 mars 2023 dhe u fshi m\u00eb 11 qershor 2024, pra kishte qen\u00eb n\u00eb qasje t\u00eb hapur p\u00ebr 16 muaj. Tokeni u t\u00ebrhoq m\u00eb 28 qershor. <\/p>\n
\u00cbsht\u00eb e v\u00ebrejtshme se n\u00eb kodin burimor t\u00eb disponuesh\u00ebm, nga i cili u krijua skedari problematik me kodin e kompiluar, nuk ka t\u00eb dh\u00ebna p\u00ebr tokenin. Autori i kodit shpjegoi se gjat\u00eb zhvillimit t\u00eb mjetit cabotage-app5 n\u00eb sistemin e tij lokal, u p\u00ebrball me kufizime t\u00eb intensitetit t\u00eb qasjes n\u00eb API-n\u00eb e GitHub gjat\u00eb ekzekutimit t\u00eb funksionit t\u00eb shkarkimit automatizuar t\u00eb skedar\u00ebve nga GitHub, dhe p\u00ebr t\u00eb anashkaluar limitet q\u00eb ishin vendosur p\u00ebr k\u00ebrkesat anonime ndaj GitHub, p\u00ebrkoh\u00ebsisht shtoi tokenin e tij t\u00eb pun\u00ebs n\u00eb kod. Para publikimit t\u00eb kodit t\u00eb shkruar, tokeni u hoq, por zhvilluesi nuk e mori parasysh se p\u00ebrmendja e tokenit ishte ruajtur n\u00eb skedarin e paracompiluar me kodin e kompiluar, i cili m\u00eb pas kaloi n\u00eb imazhin docker. def _fetch_github_file( \u2014 github_repository='owner\/repo', ref='main', access_token=None, filename='Dockerfile' + github_repository='owner\/repo', + ref='main', + access_token='0d6a9bb5af126f73350a2afc058492765446aaad', + filename='Dockerfile', ): <\/p>\n
Auditi i aktivitetit t\u00eb zhvilluesve Python n\u00eb depozitat n\u00eb GitHub nuk zbuloi p\u00ebrpjekje t\u00eb jashtme p\u00ebr qasje duke p\u00ebrdorur tokenin e ekspozuar. Duke pasur parasysh se q\u00eb nga viti 2017, GitHub \u00ebsht\u00eb platforma primare p\u00ebr zhvillimin e CPython, kapja e tokenit nga duar t\u00eb k\u00ebqija mund t\u00eb \u00e7onte n\u00eb nj\u00eb kompromis t\u00eb plot\u00eb t\u00eb infrastruktur\u00ebs q\u00eb p\u00ebrdoret p\u00ebr zhvillimin e Python dhe depozit\u00ebs PyPI, dhe mund\u00ebsin\u00eb p\u00ebr t\u00eb b\u00ebr\u00eb p\u00ebrpjekje p\u00ebr integrimin e backdoora n\u00eb CPython dhe menaxherin e paketave PyPI. <\/p>\n
Incidenti tregon r\u00ebnd\u00ebsin\u00eb e analiz\u00ebs s\u00eb rrjedhjeve jo vet\u00ebm n\u00eb kodin origjinal, skedar\u00ebt e konfigurimit dhe variablat e ambientit, por edhe n\u00eb skedar\u00ebt binar\u00eb. N\u00eb kontekstin e Python, p\u00ebrdoruesit gjithashtu rekomandohet t\u00eb japin v\u00ebmendje p\u00ebr pranin\u00eb e skedar\u00ebve pyc me kodin e p\u00ebrmbledhur n\u00eb projektet e ngarkuara, pasi k\u00ebta skedar\u00eb mund t\u00eb p\u00ebrmbajn\u00eb modifikime t\u00eb fshehura q\u00eb mungojn\u00eb n\u00eb kodin origjinal. \n Burimi: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"P\u00ebrhapja](\"\/wp-content\/uploads\/2024\/07\/995cd4986ccb553d612c78345dfec4ad.png\")
<\/center> <\/p>\n