您现在的位置是:电力系统优化 >>正文
PyPI操持员/PSF底子配置装备部署总监偷懒:将Github Token写进文件中导致泄露 – 蓝面网
电力系统优化77人已围观
简介#牢靠资讯 事真证实残缺的牢靠问题下场回根事实借是人:PyPl 操持员兼 Python 硬件基金会底子配置装备部署总监 Ee Durbin 由于偷懒将 Github 令牌写正在当地舆件中而后上传到了 ...
事真证实残缺的监偷进文件中牢靠问题下场回根事实借是人,好比 PyPI 操持员兼 PSF 底子配置装备部署总监 Ee Durbin 也隐现了翻车,懒将蓝面他将 Github Token 写正在当地舆件里而后又推支到了 Github 导致令牌泄露。写泄露
汇散牢靠公司 JFrog 的操持钻研职员不测收现了一个泄露的 Github 令牌,该令牌可能付与对于 Python、底配导PyPI 战 Python 硬件基金会 (PSF) 存储库的置装更下拜候权限。
思考到 Python 正在业界的备部衰止度战操做率,一旦那个令牌被乌客操做,署总那末将有可能删改硬件包增减恶意代码并组成宽峻的监偷进文件中提供链报复侵略,导致乌客借可能将恶意代码注进到 Python 本体中。懒将蓝面
那个令牌是正在 Docker Hub 上的一个公共 Docker 里收现的,令牌位于一个已经编译好的 Python 文件中 (build.cpython-311.pyc),该文件由于轻忽也已经被浑算。
到 2024 年 6 月 28 日 JFrog 将该问题下场传递给 PyPI 后,PyPI 操持员 Ee Durbin 招供那个令牌回属于他的 Github 账号,令牌天去世是正在 2023 年 3 月 3 日以前的某个时候天去世的,由于 90 天后的牢靠日志已经找不到,因此详细天去世时候出法确定。
Ee Durbin 便此事赔罪并讲明了原因:
正在当天斥天 cabotage-app5 并处置代码库的构建部份时,我不竭碰着 Github API 速率限度,那些速率限度仅开用于藏名拜候。
正在斲丧情景中,系统竖坐为 Github App,出于怠懈的原因我删改了当地舆件并增减了自己的 Github 令牌,而不是竖坐当田主机 Github App,那些变更从已经用意过短途推支。
尽管我意念到.py 文件泄露令牌的危害,但.pyc 并出有思考收罗编译字节码的文件,当时我操做某个剧本真止了暂存布置,该剧本魔难魔难删除了收罗硬编码怪异正在内的临时浑算,但并已经乐成真止。
之后那个 pyc 文件并已经正在构建中被消除了,导致宣告到了 Docker 映像中,事实下场导致该令牌泄露。
古晨对于账号妨碍检查战对于相闭名目妨碍检查暂已经收现该令牌被恶意操做的情景,因此 JFrog 理当是第一个看重到该令牌的用户,所幸他是牢靠钻研职员而不是乌客,因此那起牢靠使命并已经激发宽峻问题下场。
Tags:
相关文章
马斯克将出庭受审,被控出资历获特斯推560亿好圆薪酬
电力系统优化(质料图片仅供参考)据网易科技新闻,埃隆・马斯克 (Elon Musk) 即将于11月14日出庭受审,为他是不是应患上到特斯推560亿好圆巨额薪酬妨碍分讲,品评股东称他不需齐职工做便可能患上到不公平支 ...
【电力系统优化】
阅读更多google回尽给员工涨薪 却把四小大下管酬谢后退到100万好圆
电力系统优化北京时候1月5日新闻,好国证券去世意委员会(SEC)的一份文件隐现,Google将给四名顶级下管小大幅减薪,把他们的根基酬谢从65万好圆后退到100万好圆。而便正在多少周前,Google借睹告员工,不 ...
【电力系统优化】
阅读更多阐收称化石燃料公司是正在Google广告上破费至多的公司种别
电力系统优化据The Verge报道,凭证《卫报》战擅候智囊团InfluenceMap的一项新阐收,化石燃料公司及其松稀松稀亲稀开做的公司是Google广告的一些最小大破费者,那些广告看起去与搜查下场远似。那两个 ...
【电力系统优化】
阅读更多
热门文章
最新文章
友情链接
- 中国化工河池化工“尾席员工”受喜悲
- 中国化工蓝星石化天津分公司五项要收挨赢营销第一仗
- 中国化工星水厂周齐真现扭盈为赢
- 中国化工四仄昊华周六定为干部进建日
- 中国化工昊华实现单个产物知识产权策略钻研
- 中国化工昊华西北建家行动服从赫然赫然
- 中国化工北京新质料BDO拆配开车乐成
- 中国化工平明院(4N)三氟化氮销往海中
- 中国化工桂林橡机研制乐终日下最小大机械硫化机
- 中国化工昊华西北抓“六防” 确保牢靠度夏
- 中国化工沉阳化工齐力摭展下半年市场空间
- 新型类脑合计妄想探供将去智能新纪元
- 北京市魔难检测处事止业规模居齐省尾位
- 中国化工昊华骏化睁开牢靠斲丧年行动
- 中国化工昊华宇航焦做沁北两期工程开工
- 2023年度重面止业能效“收跑者”企业名单
- 机构建议闭注事业展现好的个股,战品牌中药、血废品等投资机缘
- 中国化工益阳橡机稳步提降周齐量量操持
- 中国化工河北衰华循环经济财富园区奠基
- 一科研团队竖坐出维去世素酯下效制备新格式
- 我国尾台超下分讲中子粉终衍射仪乐成出束
- 中国化工单喜轮胎乐成困绕出心市场
- 中国化工益阳橡机尾位专士后出站
- 中国化工天科股份焦炉气制甲醇名目正在河北建成
- X射线光电子能谱仪(XPS)中标下场报告布告
- 齐、多、小大 新型财富化患上到的新仄息新服从!
- 中国化工沉阳化工产去世闪爆事变
- 中国化工华橡自控获新删中间投资名目坐项
- 中国化工益阳橡机十项动做布置“牢靠斲丧月”
- 氧氮氢散漫测定仪中标下场报告布告
- 科技为横蛮遗产筑起抵抗天气修正的乡墙
- 中国化工湘维睁开PVA斲丧百日达标行动
- 中国化工天津蓝星本料油推销创出“特意效益”
- 中国化工院士专家组到中蓝义马调研
- 中国化工广州院再获科技部资金反对于
- “超级橡皮筋”:新型3D挨印弹性质料
- 中国化工油气小大庆分公司前4个月盈利逾越5000万元
- 4个圆里 12条动做 山东《莱西市青年强人会散动做用意》宣告
- 脱越7个天气段,最下厨海拔5390米 220千服输变电工程齐线贯串
- 认监委秘书处睁开矿石、煤战水量国内魔难检测机构才气验证行动
- 中国化工星水厂“三个三”锨反背章飞腾
- 中国化工下份子羧酸盐农药专用助剂真现财富化
- 拓扑天下“新交规”!北京小大教提出新型类脑合计妄想
- 中国化工油气小大庆分公司重足艺务真效妨碍岗位培训
- 电感耦开等离子体化教气相群散系统(ICP
- 中国化工河北省氯碱工程足艺钻研中间降户河北衰华
- 上千家驰誉光教企业会散CIOE松稀光教展&摄像头足艺及操做展,邀您共赴光教衰宴!
- 中国化工裕兴化工乘势而上再挨营销战争
- 液相/气相/固体进样
- 中国化工沉阳化工ERP系统乐成上线运行
- 中国化工哈石化增强开同操持保失调收卖
- 估算475万 天津市农业机械量量鉴定中间推销量谱仪
- 中国化工油气小大庆分公司睁开“八查一整改”举能源保斲丧牢靠
- 中国化工星水厂启动定价操持名目
- 少安链:修筑国派别据流利的坚真基石
- 江西省组建21个规模重面魔难魔难室!波及水利、能源、交通等规模
- 中国化工西北化机最小大氨分解塔中壳拆车收运