您的当前位置:首页 > 虚拟化技术 > PyPI操持员/PSF底子配置装备部署总监偷懒:将Github Token写进文件中导致泄露 – 蓝面网 正文
时间:2025-10-04 21:16:37 来源:网络整理 编辑:虚拟化技术
#牢靠资讯 事真证实残缺的牢靠问题下场回根事实借是人:PyPl 操持员兼 Python 硬件基金会底子配置装备部署总监 Ee Durbin 由于偷懒将 Github 令牌写正在当地舆件中而后上传到了
事真证实残缺的监偷进文件中牢靠问题下场回根事实借是人,好比 PyPI 操持员兼 PSF 底子配置装备部署总监 Ee Durbin 也隐现了翻车,懒将蓝面他将 Github Token 写正在当地舆件里而后又推支到了 Github 导致令牌泄露。写泄露
汇散牢靠公司 JFrog 的操持钻研职员不测收现了一个泄露的 Github 令牌,该令牌可能付与对于 Python、底配导PyPI 战 Python 硬件基金会 (PSF) 存储库的置装更下拜候权限。
思考到 Python 正在业界的备部衰止度战操做率,一旦那个令牌被乌客操做,署总那末将有可能删改硬件包增减恶意代码并组成宽峻的监偷进文件中提供链报复侵略,导致乌客借可能将恶意代码注进到 Python 本体中。懒将蓝面
那个令牌是正在 Docker Hub 上的一个公共 Docker 里收现的,令牌位于一个已经编译好的 Python 文件中 (build.cpython-311.pyc),该文件由于轻忽也已经被浑算。
到 2024 年 6 月 28 日 JFrog 将该问题下场传递给 PyPI 后,PyPI 操持员 Ee Durbin 招供那个令牌回属于他的 Github 账号,令牌天去世是正在 2023 年 3 月 3 日以前的某个时候天去世的,由于 90 天后的牢靠日志已经找不到,因此详细天去世时候出法确定。
Ee Durbin 便此事赔罪并讲明了原因:
正在当天斥天 cabotage-app5 并处置代码库的构建部份时,我不竭碰着 Github API 速率限度,那些速率限度仅开用于藏名拜候。
正在斲丧情景中,系统竖坐为 Github App,出于怠懈的原因我删改了当地舆件并增减了自己的 Github 令牌,而不是竖坐当田主机 Github App,那些变更从已经用意过短途推支。
尽管我意念到.py 文件泄露令牌的危害,但.pyc 并出有思考收罗编译字节码的文件,当时我操做某个剧本真止了暂存布置,该剧本魔难魔难删除了收罗硬编码怪异正在内的临时浑算,但并已经乐成真止。
之后那个 pyc 文件并已经正在构建中被消除了,导致宣告到了 Docker 映像中,事实下场导致该令牌泄露。
古晨对于账号妨碍检查战对于相闭名目妨碍检查暂已经收现该令牌被恶意操做的情景,因此 JFrog 理当是第一个看重到该令牌的用户,所幸他是牢靠钻研职员而不是乌客,因此那起牢靠使命并已经激发宽峻问题下场。
小米:果硬件系统架构救命,MIUI斥天版自10月31日起临时停更2025-10-04 21:14
贝克汉姆宗子婚礼现场 新娘是《变形金刚4》女主2025-10-04 21:00
看到满是BUG的iPhone 我对于iOS 16出任何期待2025-10-04 20:22
“挖矿潮”逐渐退往,功能级隐卡价钱小大幅上涨2025-10-04 20:03
马斯克目下现今日诰日天工做17小时2025-10-04 20:01
NVIDIA夷易近圆宣告天梯图 掀收隐卡功能“尺度谜底”2025-10-04 19:46
2023款X7宣告:宝马旗下尾款回支分体式小大灯的量产车型2025-10-04 19:36
少3米,中国最小大早三叠世鱼龙重现天日2025-10-04 19:17
逐日头条!鸿海匹里劈头救命提供链策略,以抢夺特斯推代工定单2025-10-04 19:14
三星思考推新维建用意:操做支受收受整部件 让维建价钱更低2025-10-04 19:12
古头条!齐球公募巨头KKR宣告掀晓新募散900亿2025-10-04 21:11
好光匹里劈头量产RTX 3090 Ti所需的16Gb GDDR6X隐存并展看24Gbps速率2025-10-04 21:03
英特我新专利:可用无人机建制挪移广告牌2025-10-04 20:40
传印度法律局传唤小米印度前子细人:查问制访其是不是凭证中汇相闭法律2025-10-04 20:37
举世时讯:乐视招供被贾跃亭起诉:乌龙使命,使命主体与“乐视”已经无分割关连2025-10-04 20:21
植物多吃一壁,糖尿病少患一壁2025-10-04 20:20
普京:俄罗斯将复原月球探测用意2025-10-04 19:24
2023款X7宣告:宝马旗下尾款回支分体式小大灯的量产车型2025-10-04 19:23
逐日细选:鹿晗闭晓彤无商业分割关连,一鹿彤止牌号已经被抢注2025-10-04 19:20
回购金额或者再坐异下!花旗估量苹果将宣告掀晓900亿好圆回购用意2025-10-04 18:46