46% av Python-paketen i PyPI-repositoriet innehåller potentiellt osäker kod

En grupp forskare vid Åbo universitet (Finland) har publicerat resultaten av en analys av paketen i PyPI-repositoriet med avseende på användning av potentiellt farliga konstruktioner som kan leda till sårbarheter. Vid analysen av 197 000 paket identifierades 749 000 potentiella säkerhetsproblem. I 46% av paketen finns det minst ett sådant problem. Bland de vanligast förekommande problemen märks brister relaterade till hantering av undantag och användning av funktioner som tillåter kodinjektion.

Av de identifierade 749 000 problemen är 442 000 (41%) markerade som obetydliga, 227 000 (30%) som problem av måttlig fara och 80 000 (11%) som farliga. Vissa paket sticker ut och har tusentals problem: till exempel har paketet PyGGI identifierat 2589 problem, främst relaterade till användningen av konstruktionen 'try-except-pass', medan paketet appengine-sdk har 2356 problem. Ett stort antal problem finns också i paketen genie.libs.ops, pbcore och genie.libs.parser.

Det bör noteras att resultaten har erhållits genom en automatiserad statisk analys som inte tar hänsyn till kontexten för användningen av olika konstruktioner. Utvecklaren av verktyget bandit, som användes för att skanna koden, uttryckte åsikten att på grund av det ganska höga antalet falska positiva resultat kan kontrollerna inte direkt betraktas som sårbarheter utan ytterligare manuell granskning av varje problem.

Till exempel anser analysatorn att användning av osäkra slumptalsgeneratorer och hash-algoritmer som MD5 är ett säkerhetsproblem, även om sådana algoritmer i koden kan användas för ändamål som inte påverkar säkerheten. Analysatorn anser också att varje hantering av externa data i osäkra funktioner som pickle, yaml.load, subprocess och eval är ett problem, men denna användning behöver inte nödvändigtvis medföra en sårbarhet och i praktiken kan användningen av dessa funktioner genomföras utan säkerhetshot.

Bland de kontroller som användes i studien:

• Användning av potentiellt osäkra funktioner som exec, mktemp, eval, mark_safe etc.
• Osäkert att ställa in åtkomsträttigheter för filer.
• Anslutning av nätverksuttag till alla nätverksgränssnitt.
• Användning av hårdkodade lösenord och nycklar.
• Användning av en fördefinierad temporär katalog.
• Användning av pass och continue i catch-all-stil undantagshanterare;
• Kör web-applikationer baserade på webbramen Flask med felsökningsläget aktiverat.
• Användning av osäkra metoder för deserialisering av data.
• Användning av hash-funktionerna MD2, MD4, MD5 och SHA1.
• Användning av osäkra kryptografiska algoritmer DES och krypteringslägen.
• Användning av osäkra implementeringar av HTTPSConnection i vissa versioner av Python.
• Specifikation av file:// scheman i urlopen.
• Användning av pseudorandomtalsgeneratorer vid utförande av kryptografiska uppgifter.
• Användning av Telnet-protokollet.
• Användning av osäkra XML-parsers.

Det är värt att nämna att 8 skadliga paket har upptäckts i PyPI-katalogen. Innan problematiska paket togs bort hade de laddats ner mer än 30 000 gånger. För att dölja skadlig aktivitet och kringgå varningar från enklare statiska analyzers användes blockkodning med Base64 och exekvering efter avkodning via eval-anrop.

I paketen noblesse, genesisbot, are, suffer, noblesse2 och noblessev2 har kod upptäckts för att fånga kreditkortsnummer och lösenord som sparats i Chrome- och Edge-webbläsare, samt för att överföra token för konton från Discord-appen och sända systemdata inklusive skärmdumpar av skärminnehållet. I paketen pytagora och pytagora2 fanns det möjlighet att ladda ner och köra extern körbar kod.

Källa: opennet.ru