Dans une autre d\u00e9couverte qui pourrait exposer les d\u00e9veloppeurs \u00e0 un risque accru d’attaque de la cha\u00eene d’approvisionnement, il est apparu que pr\u00e8s d’un tiers des packages de PyPI, le Python Package Index, d\u00e9clenchent l’ex\u00e9cution automatique du code lors de leur t\u00e9l\u00e9chargement.<\/p>\n
“Une fonctionnalit\u00e9 inqui\u00e9tante de pip\/PyPI permet au code de s’ex\u00e9cuter automatiquement lorsque les d\u00e9veloppeurs t\u00e9l\u00e9chargent simplement un package”, a d\u00e9clar\u00e9 Yehuda Gelb, chercheur chez Checkmarx. a dit<\/a> dans un rapport technique publi\u00e9 cette semaine.<\/p>\n “En outre, cette fonctionnalit\u00e9 est alarmante car une grande partie des packages malveillants que nous trouvons dans la nature utilisent cette fonctionnalit\u00e9 d’ex\u00e9cution de code lors de l’installation pour atteindre des taux d’infection plus \u00e9lev\u00e9s.”<\/p>\n L’un des moyens par lesquels les packages peuvent \u00eatre install\u00e9s pour Python consiste \u00e0 ex\u00e9cuter le “installation de pip<\/a>“, qui, \u00e0 son tour, appelle un fichier appel\u00e9 “setup.py” fourni avec le module.<\/p>\n “setup.py”, comme son nom l’indique, est un script de configuration<\/a> qui est utilis\u00e9 pour sp\u00e9cifier les m\u00e9tadonn\u00e9es associ\u00e9es au package, y compris ses d\u00e9pendances.<\/p>\n Alors que les acteurs de la menace ont eu recours \u00e0 l’incorporation de code malveillant dans le fichier setup.py, Checkmarx a d\u00e9couvert que les adversaires pouvaient atteindre les m\u00eames objectifs en ex\u00e9cutant ce qu’on appelle un “t\u00e9l\u00e9chargement de pip<\/a>” commande.<\/p>\n “pip download effectue la m\u00eame r\u00e9solution et le m\u00eame t\u00e9l\u00e9chargement que pip install, mais au lieu d’installer les d\u00e9pendances, il collecte les distributions t\u00e9l\u00e9charg\u00e9es dans le r\u00e9pertoire fourni (par d\u00e9faut dans le r\u00e9pertoire actuel)”, indique la documentation.<\/p>\n En d’autres termes, la commande peut \u00eatre utilis\u00e9e pour t\u00e9l\u00e9charger un package Python sans avoir \u00e0 l’installer sur le syst\u00e8me. Mais il s’av\u00e8re que l’ex\u00e9cution de la commande de t\u00e9l\u00e9chargement ex\u00e9cute \u00e9galement le script “setup.py” susmentionn\u00e9, entra\u00eenant l’ex\u00e9cution du code malveillant qu’il contient.<\/p>\n Cependant, il convient de noter que le probl\u00e8me ne se produit que lorsque le package contient un fichier tar.gz au lieu d’un fichier de roue (.whl), qui “coupe l’ex\u00e9cution de ‘setup.py’ de l’\u00e9quation”.<\/p>\n “Les d\u00e9veloppeurs qui choisissent de t\u00e9l\u00e9charger, au lieu d’installer des packages, s’attendent raisonnablement \u00e0 ce qu’aucun code ne s’ex\u00e9cute sur la machine lors du t\u00e9l\u00e9chargement des fichiers”, a not\u00e9 Gelb, le qualifiant de probl\u00e8me de conception<\/a> plut\u00f4t qu’un bug.<\/p>\n Bien que pip utilise par d\u00e9faut des roues au lieu de fichiers tar.gz, un attaquant pourrait profiter de ce comportement pour publier intentionnellement des packages python sans fichier .whl, entra\u00eenant l’ex\u00e9cution du code malveillant pr\u00e9sent dans le script de configuration.<\/p>\n “Lorsqu’un utilisateur t\u00e9l\u00e9charge un package python \u00e0 partir de PyPi, pip utilisera de pr\u00e9f\u00e9rence le fichier .whl, mais reviendra au fichier tar.gz si le fichier .whl fait d\u00e9faut”, a d\u00e9clar\u00e9 Gelb.<\/p>\n Les conclusions viennent alors que la National Security Agency (NSA) des \u00c9tats-Unis, ainsi que la Cybersecurity and Infrastructure Security Agency (CISA) et le Bureau du directeur du renseignement national (ODNI), orientation publi\u00e9e<\/a> pour s\u00e9curiser la cha\u00eene d’approvisionnement des logiciels.<\/p>\n “Alors que la cybermenace continue de devenir plus sophistiqu\u00e9e, les adversaires ont commenc\u00e9 \u00e0 attaquer la cha\u00eene d’approvisionnement des logiciels, plut\u00f4t que de s’appuyer sur des vuln\u00e9rabilit\u00e9s connues du public”, a d\u00e9clar\u00e9 l’agence. a dit<\/a>. “Tant que tous les DevOps ne seront pas des DevSecOps, le cycle de vie du d\u00e9veloppement logiciel sera menac\u00e9.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/Avertissement-la-fonctionnalite-PyPI-execute-automatiquement-le-code-apres-le.png\")
<\/a><\/div>\n![\"Ex\u00e9cution](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1662161314_21_Avertissement-la-fonctionnalite-PyPI-execute-automatiquement-le-code-apres-le.jpg\" "\\"Ex\u00e9cution")
<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/09\/1662161314_694_Avertissement-la-fonctionnalite-PyPI-execute-automatiquement-le-code-apres-le.png\")
<\/a><\/div>\n