{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46% av Python-paketen i PyPI-repositoriet inneh\u00e5ller potentiellt os\u00e4ker kod","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En grupp forskare vid \u00c5bo universitet (Finland) har publicerat resultaten av en analys av paketen i PyPI-repositoriet med avseende p\u00e5 anv\u00e4ndning av potentiellt farliga konstruktioner som kan leda till s\u00e5rbarheter. Vid analysen av 197 000 paket identifierades 749 000 potentiella s\u00e4kerhetsproblem. I 46% av paketen finns det minst ett s\u00e5dant problem. Bland de vanligast f\u00f6rekommande problemen m\u00e4rks brister relaterade till hantering av undantag och anv\u00e4ndning av funktioner som till\u00e5ter kodinjektion. <\/p>\n
Det b\u00f6r noteras att resultaten har erh\u00e5llits genom en automatiserad statisk analys som inte tar h\u00e4nsyn till kontexten f\u00f6r anv\u00e4ndningen av olika konstruktioner. Utvecklaren av verktyget bandit, som anv\u00e4ndes f\u00f6r att skanna koden, uttryckte \u00e5sikten att p\u00e5 grund av det ganska h\u00f6ga antalet falska positiva resultat kan kontrollerna inte direkt betraktas som s\u00e5rbarheter utan ytterligare manuell granskning av varje problem. <\/p>\n
Till exempel anser analysatorn att anv\u00e4ndning av os\u00e4kra slumptalsgeneratorer och hash-algoritmer som MD5 \u00e4r ett s\u00e4kerhetsproblem, \u00e4ven om s\u00e5dana algoritmer i koden kan anv\u00e4ndas f\u00f6r \u00e4ndam\u00e5l som inte p\u00e5verkar s\u00e4kerheten. Analysatorn anser ocks\u00e5 att varje hantering av externa data i os\u00e4kra funktioner som pickle, yaml.load, subprocess och eval \u00e4r ett problem, men denna anv\u00e4ndning beh\u00f6ver inte n\u00f6dv\u00e4ndigtvis medf\u00f6ra en s\u00e5rbarhet och i praktiken kan anv\u00e4ndningen av dessa funktioner genomf\u00f6ras utan s\u00e4kerhetshot. <\/p>\n
Bland de kontroller som anv\u00e4ndes i studien: <\/p>\n
\n
Anv\u00e4ndning av potentiellt os\u00e4kra funktioner som exec, mktemp, eval, mark_safe etc.\n
Os\u00e4kert att st\u00e4lla in \u00e5tkomstr\u00e4ttigheter f\u00f6r filer.\n
Anslutning av n\u00e4tverksuttag till alla n\u00e4tverksgr\u00e4nssnitt.\n
Anv\u00e4ndning av h\u00e5rdkodade l\u00f6senord och nycklar.\n
Anv\u00e4ndning av en f\u00f6rdefinierad tempor\u00e4r katalog.\n
Anv\u00e4ndning av pass och continue i catch-all-stil undantagshanterare;\n
K\u00f6r web-applikationer baserade p\u00e5 webbramen Flask med fels\u00f6kningsl\u00e4get aktiverat.\n
Anv\u00e4ndning av os\u00e4kra metoder f\u00f6r deserialisering av data.\n
Anv\u00e4ndning av hash-funktionerna MD2, MD4, MD5 och SHA1.\n
Anv\u00e4ndning av os\u00e4kra kryptografiska algoritmer DES och krypteringsl\u00e4gen.\n
Anv\u00e4ndning av os\u00e4kra implementeringar av HTTPSConnection i vissa versioner av Python.\n
Specifikation av file:\/\/ scheman i urlopen.\n
Anv\u00e4ndning av pseudorandomtalsgeneratorer vid utf\u00f6rande av kryptografiska uppgifter.\n
Anv\u00e4ndning av Telnet-protokollet.\n
Anv\u00e4ndning av os\u00e4kra XML-parsers. <\/ul>\n
Det \u00e4r v\u00e4rt att n\u00e4mna att 8 skadliga paket har uppt\u00e4ckts i PyPI-katalogen. Innan problematiska paket togs bort hade de laddats ner mer \u00e4n 30 000 g\u00e5nger. F\u00f6r att d\u00f6lja skadlig aktivitet och kringg\u00e5 varningar fr\u00e5n enklare statiska analyzers anv\u00e4ndes blockkodning med Base64 och exekvering efter avkodning via eval-anrop. <\/p>\n
I paketen noblesse, genesisbot, are, suffer, noblesse2 och noblessev2 har kod uppt\u00e4ckts f\u00f6r att f\u00e5nga kreditkortsnummer och l\u00f6senord som sparats i Chrome- och Edge-webbl\u00e4sare, samt f\u00f6r att \u00f6verf\u00f6ra token f\u00f6r konton fr\u00e5n Discord-appen och s\u00e4nda systemdata inklusive sk\u00e4rmdumpar av sk\u00e4rminneh\u00e5llet. I paketen pytagora och pytagora2 fanns det m\u00f6jlighet att ladda ner och k\u00f6ra extern k\u00f6rbar kod. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"