Forskare frÄn JFrog har upptÀckt en token i Docker-bilden "cabotage-app" som ger administrativ Ätkomst till Python-repositorier, PyPI och Python Software Foundation pÄ GitHub. Token hittades i binÀrfilen "__pycache__/build.cpython-311.pyc" med cachad kompilerad bytekod.
Enligt representanter frÄn PyPI-repositoriet skapades token 2023 för utvecklaren ewdurbin (Ee Durbin), som Àr direktör för infrastruktur pÄ Python Software Foundation. Token gav administrativ Ätkomst till alla repositories och organisationer för projektet, inklusive alla repositories i organisationerna pypi, python, psf och pypa. Den problematiska Docker-bilden med token publicerades i Docker Hub den 3 mars 2023 och togs bort den 11 juni 2024, dvs. den var tillgÀnglig offentligt i 16 mÄnader. Token Äterkallades den 28 juni.
Det Ă€r pĂ„fallande att i de tillgĂ€ngliga kĂ€llkoderna, pĂ„ vilka den problematiska bytekodsfilen genererades, saknas nĂ€mningar av token. Kodens författare förklarade att han i utvecklingen av verktyget cabotage-app5 stötte pĂ„ begrĂ€nsningar i API-Ă„tkomsten till GitHub nĂ€r han utförde en funktion för automatiserad filuppladdning frĂ„n GitHub, och för att kringgĂ„ begrĂ€nsningarna för anonyma anrop till GitHub, temporĂ€rt lade till sin arbets-token i koden. Innan den skrivna koden publicerades togs token bort, men utvecklaren tog inte hĂ€nsyn till att nĂ€mningen av token cachades i den förkompilerade bytekodsfilen som sedan hamnade i docker-bilden. def _fetch_github_file( â github_repository="owner/repo", ref="main", access_token=None, filename="Dockerfile" + github_repository="owner/repo", + ref="main", + access_token="0d6a9bb5af126f73350a2afc058492765446aaad", + filename="Dockerfile", ):
Genomfört av Python-utvecklarna, visade en granskning av aktiviteten i repositories pÄ GitHub inga externa försök till Ätkomst med den avslöjade token. Med tanke pÄ att GitHub sedan 2017 har varit den primÀra plattformen för utveckling av CPython, skulle en upptÀckten av token av en illvillig aktör kunna leda till en fullstÀndig kompromettering av infrastrukturen som anvÀnds för utvecklingen av Python och PyPI-repositoriet, samt möjligheter till försök att integrera bakdörrar i CPython och paketförvaltaren PyPI.
Incidentet visar vikten av att analysera lÀckor inte bara i kÀllkoden, konfigurationsfiler och miljövariabler, utan ocksÄ i binÀra filer. I Python-sammanhang rekommenderas det Àven att anvÀndare Àr uppmÀrksamma pÄ förekomsten av pyc-filer med kompilerad bytekod i laddade projekt, dÄ dessa filer kan innehÄlla dolda modifieringar som saknas i kÀllkoden.
KĂ€lla: opennet.ru
