Bezpieczeństwo w Pythonie: Uwaga na pip!
Bezpieczeństwo w Pythonie: Uwaga na pip!
Użytkownicy Pythonowego menedżera paczek pip powinni być szczególnie ostrożni. Nowe informacje ujawniają, że pip, który ściąga paczki po protokole HTTP, może stanowić poważne zagrożenie bezpieczeństwa. Działa on z prawami roota, co sprawia, że każdy, kto przejmie połączenie, może wykorzystać atak typu Man in the Middle.
Atak ten, jak pokazują doświadczenia wielu internautów, jest stosunkowo prosty do przeprowadzenia w większości sieci LAN oraz w otwartych sieciach WiFi. Przechwytywanie paczek instalowanych przez pip staje się realnym zagrożeniem.
Jednym z przykładów jest skrypt pip_intercept.py, który przejmuje wszystkie paczki z PyPi. Skrypt ten dodaje do pliku setup.py linijkę, która umożliwia atakującemu uzyskanie dostępu do maszyny ofiary na prawach roota. Pip nie jest tak idealny, jak się wydaje, co powinno być sygnałem alarmowym dla wszystkich programistów.
Na podstawie: Źródła
