Investigadores de ciberseguridad dijeron que descubrieron un token de GitHub filtrado accidentalmente que podr\u00eda haber otorgado acceso elevado a los repositorios de GitHub del lenguaje Python, Python Package Index (PyPI) y los repositorios de Python Software Foundation (PSF).<\/p>\n
JFrog, que encontr\u00f3 el token de acceso personal de GitHub, dijo que el secreto se filtr\u00f3 en un contenedor Docker p\u00fablico alojado en Docker Hub.<\/p>\n
“Este caso fue excepcional porque es dif\u00edcil sobreestimar las posibles consecuencias si hubiera ca\u00eddo en manos equivocadas: uno podr\u00eda supuestamente inyectar c\u00f3digo malicioso en los paquetes de PyPI (imagine reemplazar todos los paquetes de Python con paquetes maliciosos), e incluso en el propio lenguaje Python”, dijo la empresa de seguridad de la cadena de suministro de software. dicho<\/a>.<\/p>\n Un atacante podr\u00eda haber utilizado hipot\u00e9ticamente su acceso de administrador para orquestar un ataque a gran escala a la cadena de suministro envenenando el c\u00f3digo fuente asociado con el n\u00facleo del lenguaje de programaci\u00f3n Python o el administrador de paquetes PyPI.<\/p>\n JFrog not\u00f3 que el token de autenticaci\u00f3n se encontr\u00f3 dentro de un contenedor Docker, en un archivo Python compilado (“build.cpython-311.pyc”) que inadvertidamente no se limpi\u00f3.<\/p>\n Tras una divulgaci\u00f3n responsable el 28 de junio de 2024, el token, que se hab\u00eda emitido para la cuenta de GitHub vinculada a Ee Durbin, administrador de PyPI, fue revocado de inmediato. No hay pruebas de que el secreto haya sido explotado en la naturaleza.<\/p>\n PyPI dijo que el token se emiti\u00f3 en alg\u00fan momento antes del 3 de marzo de 2023 y que se desconoce la fecha exacta debido al hecho de que los registros de seguridad no est\u00e1n disponibles m\u00e1s all\u00e1 de los 90 d\u00edas.<\/p>\n “Mientras desarrollaba cabotage-app5 localmente, trabajando en la parte de compilaci\u00f3n del c\u00f3digo base, me encontraba constantemente con l\u00edmites de velocidad de la API de GitHub”, dijo Durbin. explicado<\/a>.<\/p>\n “Estos l\u00edmites de velocidad se aplican al acceso an\u00f3nimo. Mientras que en producci\u00f3n el sistema est\u00e1 configurado como una aplicaci\u00f3n de GitHub, modifiqu\u00e9 mis archivos locales para incluir mi propio token de acceso en un acto de pereza, en lugar de configurar una aplicaci\u00f3n de GitHub en el host local. Estos cambios nunca tuvieron la intenci\u00f3n de implementarse de forma remota”.<\/p>\n La revelaci\u00f3n se produce cuando Checkmarx descubri\u00f3 una serie de paquetes maliciosos en PyPI que est\u00e1n dise\u00f1ados para exfiltrar informaci\u00f3n confidencial a un bot de Telegram sin el consentimiento o conocimiento de las v\u00edctimas.<\/p>\n Los paquetes en cuesti\u00f3n (testbrojct2, proxyfullscraper, proxyalhttp y proxyfullscrapers) funcionan escaneando el sistema comprometido en busca de archivos que coincidan con extensiones como .py, .php, .zip, .png, .jpg y .jpeg.<\/p>\n “El bot de Telegram est\u00e1 vinculado a m\u00faltiples operaciones cibercriminales con base en Irak”, dijo el investigador de Checkmarx Yehuda Gelb dicho<\/a>teniendo en cuenta que el historial de mensajes del bot se remonta a 2022.<\/p>\n “El bot tambi\u00e9n funciona como un mercado clandestino que ofrece servicios de manipulaci\u00f3n de redes sociales. Se lo ha vinculado con el robo financiero y explota a las v\u00edctimas mediante la exfiltraci\u00f3n de sus datos”.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/07\/La-fuga-de-tokens-de-GitHub-expone-los-repositorios-principales.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n