IT之家 7 月 16 日信息,网络安全专家发掘了意外泄密的 GitHub token,能以最高权限拜访 Python 语言、Python 软件包索引(PyPI)和 Python 软件基金会(PSF)存储库。
网络安全机构 JFrog 暗示该 GitHub 私有拜访 token 托管在 Docker Hub 上的公有 Docker 容器中,IT之家附上博文关联内容如下:
这起安全案例非常特殊,倘若该 token 落入违法分子之手,其潜在破坏力再怎么形容都不为过,例如攻击者能够将恶意代码注入 PyPI 软件包(再升级所有 Python 软件包替换为恶意软件),乃至能够在 Python 语言本身中注入恶意代码。
JFrog 在公开 Docker 容器的一个编译 Python 文件(“build.cpython-311.pyc”)中发掘该认证 token,于 2023 年 3 月 3 日前创建,因为安全日志在 90 天之后已失效,日前尚不清楚详细创建日期。
JFrog 于 2024 年 6 月 28 日披露该 token 之后,关联 token 立即被撤销,无证据显示该 token 有被黑客利用。返回外链论坛:www.fok120.com,查看更加多
责任编辑:网友投稿
|