I PyPI-repositoriet har cirka 5000 hemligheter lämnats kvar i koden och 8 skadliga obfuskatorer upptäckts.

GitGuardians forskare har publicerat resultaten av en analys av konfidentiella uppgifter som utvecklare har glömt bort i koden som lagts upp i Python-paketarkivet PyPI (Python Package Index). Efter att ha studerat över 9,5 miljoner filer och 5 miljoner paketreleaser kopplade till 450 000 projekt identifierades 56866 fall av läckage av konfidentiella uppgifter. Om man endast räknar unika uppgifter utan dubbletter i olika releaser uppgick antalet identifierade läckage till 3938, och antalet projekt där minst ett läckage fanns till 2922.

Totalt identifierades över 150 typer av läckage av konfidentiell information, inklusive vanliga lösenord, kryptografiska nycklar, åtkomsttoken till molntjänster, system för kontinuerlig integration och API:er. Åtminstone 768 autentiseringsuppgifter var fortfarande aktiva vid tidpunkten för studien. Exempel på populära och relevanta läckage är åtkomstnycklar till Azure Active Directory, autentiseringsuppgifter för SSH, MongoDB, MySQL och PostgreSQL, nycklar till GitHub OAuth App, Dropbox och Auth0, samt inloggningsuppgifter för Coinbase och Twilio.

Bland de växande typerna av läckage nämns token för åtkomst till bots i Telegram, vars antal fördubblades i början av 2021 och sedan en gång till fördubblades våren 2023. En konstant ökning av läckage har också noterats sedan 2020 för åtkomstnycklar till Google API, och sedan 2022 för autentiseringsuppgifter till databashanterare. Bland paketen med flest läckage nämns paketen chatllm och safire, där 209 nycklar till OpenAI och 320 nycklar till Google Cloud glömdes bort.

Bland de filtyper i vilka det har påträffats flest läckage, förutom filer med filändelsen ".py", märks filer med filändelsen .json (610 läckage), .md (270), PKG-INFO (240), METADATA (210), .txt (170), samt README-filer (209) och filer från kataloger med namnet test (675). Många läckage är också relaterade till förbiseenden och felkonfigurationer av filundantagsinställningar vid paketgenerering. Till exempel kan filer med lokala konfigurationsfiler (.cookiecutterrc, .env, .pypirc osv.) undantas från Git-repositoriet via filen ".gitignore", som inte beaktas vid skapandet av paket. Specifikt har 43 .pypirc-filer, innehållande autentiseringsuppgifter för åtkomst till PyPI, påträffats i ett repositorium. I 15 fall av läckage planerade utvecklarna inte att offentligt publicera paket som ursprungligen skapades för internt bruk, men publicerade dem av misstag i PyPI.

Dessutom kan ytterligare två händelser relaterade till PyPI nämnas:

• I PyPI-repositoriet har åtta skadliga paket identifierats, som presenterades som verktyg för obfuskering, dvs. för att göra koden oläslig och svår att återfå algoritmen. De identifierade paketen innehöll strängen "pyobf" i sina namn (Pyobftoexe, Pyobfusfile, Pyobfexecute, Pyobfpremium, Pyobflight, Pyobfadvance, Pyobfuse och pyobfgood) och har laddats ner mer än 2000 gånger.

  Den integrerade skadliga koden var specifik för Windows-plattformen och möjliggjorde anslutning till en extern kontrollenhet servern, körning av godtyckliga kommandon på utvecklarens dator, samt att hitta och överföra konfidentiell information, såsom åtkomstnycklar, till en extern server, samt att skicka godtyckliga filer från systemet. Dessutom kunde den skadliga koden utföra keylogging-funktioner, fånga inloggningar i Chrome, ta skärmdumpar, spela in ljud och till och med kontrollera webbkamera.

• Resultaten av en oberoende granskning av kodbasen för verktygen som används för att organisera arbetet i repositoriet pypi.org, och ramen "cabotage", som används i infrastrukturen för orkestrering av containrar, har publicerats. Granskningen genomfördes med stöd av den ideella organisationen OTF (Open Technology Fund). Under granskningen identifierades inga problem med hög risk, och källkoden erkändes som uppfyllande grundläggande krav för säker kodning. Det noterades dock att testningen av cabotage-kodbasen var otillräcklig och 29 problem identifierades, varav åtta tilldelades en måttlig risknivå, 6 en låg och 14 märktes som informativa kommentarer.

  De mest framträdande problemen:

  • Otillräcklig kontroll av digitala signaturer som används för att integrera PyPI med AWS SNS, vilket gjorde det möjligt att skicka meddelanden till e-postadresser för enskilda användare.
  • Informationsläckage i nedladdningshanteraren, vilket möjliggjorde identifiering av en existerande användarkonto utan att generera inloggningsförsök.
  • Användning av osäkra kryptografiska hash-algoritmer, som inte utesluter cache-poisoning-attacker.
  • Om det finns rättigheter att köra byggprocesser via cabotage, kunde angriparen potentiellt åstadkomma en substitution av sina egna kommandon.
  • Om det finns rättigheter till distribution (deployment) i cabotage, kunde angriparen potentiellt distribuera en legitimat utseende bild.

Källa: opennet.ru