{"id":1239773,"date":"2024-07-15T15:57:14","date_gmt":"2024-07-15T17:57:14","guid":{"rendered":"https:\/\/teknomers.com\/fr\/une-fuite-de-jetons-github-expose-les-referentiels-principaux-de-python-a-des-attaques-potentielles\/"},"modified":"2024-07-15T15:57:18","modified_gmt":"2024-07-15T17:57:18","slug":"une-fuite-de-jetons-github-expose-les-referentiels-principaux-de-python-a-des-attaques-potentielles","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/une-fuite-de-jetons-github-expose-les-referentiels-principaux-de-python-a-des-attaques-potentielles\/","title":{"rendered":"Une fuite de jetons GitHub expose les r\u00e9f\u00e9rentiels principaux de Python \u00e0 des attaques potentielles"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>15 juillet 2024<\/span>\ue804<\/i>R\u00e9daction<\/span><\/span>Attaque de la cha\u00eene d’approvisionnement \/ cybermenace<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Des chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9clar\u00e9 avoir d\u00e9couvert un jeton GitHub divulgu\u00e9 accidentellement qui aurait pu accorder un acc\u00e8s \u00e9lev\u00e9 aux r\u00e9f\u00e9rentiels GitHub du langage Python, Python Package Index (PyPI) et aux r\u00e9f\u00e9rentiels Python Software Foundation (PSF).<\/p>\n

JFrog, qui a d\u00e9couvert le jeton d’acc\u00e8s personnel GitHub, a d\u00e9clar\u00e9 que le secret avait \u00e9t\u00e9 divulgu\u00e9 dans un conteneur Docker public h\u00e9berg\u00e9 sur Docker Hub.<\/p>\n

\u00ab Ce cas \u00e9tait exceptionnel car il est difficile de surestimer les cons\u00e9quences potentielles s’il tombait entre de mauvaises mains \u2013 on pourrait soi-disant injecter du code malveillant dans les packages PyPI (imaginez remplacer tous les packages Python par des packages malveillants), et m\u00eame dans le langage Python lui-m\u00eame \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement de logiciels. dit<\/a>.<\/p>\n

Un attaquant aurait pu hypoth\u00e9tiquement utiliser son acc\u00e8s administrateur pour orchestrer une attaque de cha\u00eene d\u2019approvisionnement \u00e0 grande \u00e9chelle en empoisonnant le code source associ\u00e9 au c\u0153ur du langage de programmation Python ou au gestionnaire de packages PyPI.<\/p>\n

\"La<\/a><\/center><\/div>\n

JFrog a not\u00e9 que le jeton d’authentification a \u00e9t\u00e9 trouv\u00e9 \u00e0 l’int\u00e9rieur d’un conteneur Docker, dans un fichier Python compil\u00e9 (\u00ab build.cpython-311.pyc \u00bb) qui n’a pas \u00e9t\u00e9 nettoy\u00e9 par inadvertance.<\/p>\n

Suite \u00e0 une divulgation responsable le 28 juin 2024, le jeton \u2013 qui a \u00e9t\u00e9 \u00e9mis pour le compte GitHub li\u00e9 \u00e0 l\u2019administrateur PyPI Ee Durbin \u2013 a \u00e9t\u00e9 imm\u00e9diatement r\u00e9voqu\u00e9. Il n\u2019existe aucune preuve que le secret ait \u00e9t\u00e9 exploit\u00e9 dans la nature.<\/p>\n

PyPI a d\u00e9clar\u00e9 que le jeton avait \u00e9t\u00e9 \u00e9mis avant le 3 mars 2023 et que la date exacte est inconnue en raison du fait que les journaux de s\u00e9curit\u00e9 ne sont pas disponibles au-del\u00e0 de 90 jours.<\/p>\n

\"\"<\/a><\/div>\n

\u00ab Lors du d\u00e9veloppement local de cabotage-app5, en travaillant sur la partie build de la base de code, je me heurtais constamment aux limites de d\u00e9bit de l’API GitHub \u00bb, a d\u00e9clar\u00e9 Durbin. expliqu\u00e9<\/a>.<\/p>\n

\u00ab Ces limites de d\u00e9bit s’appliquent \u00e0 l’acc\u00e8s anonyme. Alors qu’en production, le syst\u00e8me est configur\u00e9 comme une application GitHub, j’ai modifi\u00e9 mes fichiers locaux pour inclure mon propre jeton d’acc\u00e8s dans un acte de paresse, plut\u00f4t que de configurer une application GitHub locale. Ces modifications n’ont jamais \u00e9t\u00e9 destin\u00e9es \u00e0 \u00eatre appliqu\u00e9es \u00e0 distance. \u00bb<\/p>\n

Cette r\u00e9v\u00e9lation intervient alors que Checkmarx a d\u00e9couvert une s\u00e9rie de packages malveillants sur PyPI, con\u00e7us pour exfiltrer des informations sensibles vers un bot Telegram sans le consentement ou la connaissance des victimes.<\/p>\n

\"La<\/a><\/center><\/section>\n

Les packages en question \u2013 testbrojct2, proxyfullscraper, proxyalhttp et proxyfullscrapers \u2013 fonctionnent en analysant le syst\u00e8me compromis \u00e0 la recherche de fichiers correspondant \u00e0 des extensions telles que .py, .php, .zip, .png, .jpg et .jpeg.<\/p>\n

\u00ab Le bot Telegram est li\u00e9 \u00e0 de multiples op\u00e9rations cybercriminelles bas\u00e9es en Irak \u00bb, a d\u00e9clar\u00e9 Yehuda Gelb, chercheur chez Checkmarx. dit<\/a>notant que l’historique des messages du bot remonte \u00e0 2022.<\/p>\n

\u00ab Le bot fonctionne \u00e9galement comme un march\u00e9 clandestin proposant des services de manipulation des r\u00e9seaux sociaux. Il a \u00e9t\u00e9 li\u00e9 au vol financier et exploite les victimes en exfiltrant leurs donn\u00e9es. \u00bb<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire davantage de contenu exclusif que nous publions.<\/div>\n<\/div>\n