Ang mga nakakahamak na pakete na mitmproxy2 at mitmproxy-iframe ay inalis mula sa direktoryo ng PyPI

Ang may-akda ng mitmproxy, isang tool para sa pagsusuri ng trapiko ng HTTP/HTTPS, ay nakakuha ng pansin sa hitsura ng isang tinidor ng kanyang proyekto sa direktoryo ng PyPI (Python Package Index) ng mga pakete ng Python. Ang tinidor ay ipinamahagi sa ilalim ng katulad na pangalan na mitmproxy2 at ang hindi umiiral na bersyon 8.0.1 (kasalukuyang release mitmproxy 7.0.4) na may pag-asa na ang mga hindi nag-iingat na mga gumagamit ay mapapansin ang package bilang isang bagong edisyon ng pangunahing proyekto (typesquatting) at nais upang subukan ang bagong bersyon.

Sa komposisyon nito, ang mitmproxy2 ay katulad ng mitmproxy, maliban sa mga pagbabago sa pagpapatupad ng malisyosong pagpapagana. Ang mga pagbabago ay binubuo ng paghinto sa pagtatakda ng HTTP header na “X-Frame-Options: DENY”, na nagbabawal sa pagproseso ng nilalaman sa loob ng iframe, hindi pagpapagana ng proteksyon laban sa mga pag-atake ng XSRF at pagtatakda ng mga header na “Access-Control-Allow-Origin: *”, "Access-Control- Allow-Headers: *" at "Access-Control-Allow-Methods: POST, GET, DELETE, OPTIONS".

Inalis ng mga pagbabagong ito ang mga paghihigpit sa pag-access sa HTTP API na ginamit upang pamahalaan ang mitmproxy sa pamamagitan ng Web interface, na nagpapahintulot sa sinumang umaatake na matatagpuan sa parehong lokal na network na ayusin ang pagpapatupad ng kanilang code sa system ng user sa pamamagitan ng pagpapadala ng kahilingan sa HTTP.

Sumang-ayon ang administrasyon ng direktoryo na ang mga pagbabagong ginawa ay maaaring bigyang-kahulugan bilang nakakahamak, at ang pakete mismo bilang isang pagtatangka na mag-promote ng isa pang produkto sa ilalim ng pagkukunwari ng pangunahing proyekto (ang paglalarawan ng pakete ay nagsasaad na ito ay isang bagong bersyon ng mitmproxy, hindi isang tinidor). Matapos tanggalin ang package mula sa catalog, kinabukasan, isang bagong package, mitmproxy-iframe, ang nai-post sa PyPI, ang paglalarawan kung saan ganap ding tumugma sa opisyal na package. Ang mitmproxy-iframe package ay tinanggal na rin sa direktoryo ng PyPI.

Pinagmulan: opennet.ru