Samuag
New member
Güvenlik araştırmacıları, resmi üçüncü parti yazılım deposunda çeşitli AWS kimlik ayrıntılarını sızdırmak emeliyle tasarlanmış bir dizi Python kütüphanesi keşfetti.
Sonatype firmasından Ax Sharma’nın söylemiş olduğine gore loglib-modules, pyg-modules, pygrata, pygrata-utils ve hkg-sol-utils kütüphaneleri AWS sunuculara ilişkin kimlik ayrıntılarını uzak bir sunucuya aktarıyordu.
Ele geçirilmiş yüzlerce bilgiyi TXT biçiminde saklayan uç noktalar, bunlara oburunun erişmesini engelleyecek rastgele bir tedbir de almadı. Herkes rahatlıkla erişim sağlayabiliyor, kapalılık derecesi yüksek bu bilgileri görüntüleyebiliyordu.
Kötü gayeli kod “loglib-modules” ve “pygrata-utils”e eklendiğinden bu bağımlılıkları kullanan öteki kütüphanelerin de dolaylı olarak etkilendiği kaydedildi. Ax Sharma çalınan kimlik ayrıntılarının bilerek mi yoksa yanılgılı OPSEC uygulamaları yüzünden mi açık biçimde barındırıldığını anlayamadığını söylemiş oldu. İlgili Python paketleri durumun anlaşılmasının çabucak akabinde PyPi üzerinden kaldırıldı.
Sonatype firmasından Ax Sharma’nın söylemiş olduğine gore loglib-modules, pyg-modules, pygrata, pygrata-utils ve hkg-sol-utils kütüphaneleri AWS sunuculara ilişkin kimlik ayrıntılarını uzak bir sunucuya aktarıyordu.
Ele geçirilmiş yüzlerce bilgiyi TXT biçiminde saklayan uç noktalar, bunlara oburunun erişmesini engelleyecek rastgele bir tedbir de almadı. Herkes rahatlıkla erişim sağlayabiliyor, kapalılık derecesi yüksek bu bilgileri görüntüleyebiliyordu.
Kötü gayeli kod “loglib-modules” ve “pygrata-utils”e eklendiğinden bu bağımlılıkları kullanan öteki kütüphanelerin de dolaylı olarak etkilendiği kaydedildi. Ax Sharma çalınan kimlik ayrıntılarının bilerek mi yoksa yanılgılı OPSEC uygulamaları yüzünden mi açık biçimde barındırıldığını anlayamadığını söylemiş oldu. İlgili Python paketleri durumun anlaşılmasının çabucak akabinde PyPi üzerinden kaldırıldı.