Утёкший токен доступа GitHub подверг опасности ключевые Python-репозитории

Утёкший токен доступа GitHub подверг опасности ключевые Python-репозитории

Утёкший токен доступа GitHub подверг опасности ключевые Python-репозитории

Исследователи в области кибербезопасности случайно наткнулись на скомпрометированный токен GitHub, который мог открыть привилегированный доступ к основным Python-репозиториям — Python Package Index (PyPI) и Python Software Foundation (PSF).

На персональный токен доступа GitHub обратили внимание специалисты компании JFrog. По их словам, токен просочился в публичный контейнер Docker, размещённый на Docker Hub.

«Это можно назвать исключительным случаем, поскольку переоценить степень риска при попадании в третьи руки просто нельзя. Условный злоумышленник мог внедрить вредоносный код в пакеты PyPI и оставить закладки даже в самом языке PyPI», — пишет JFrog.

Кроме того, атакующий мог воспользоваться административным доступом для организации масштабной кибератаки на цепочку поставок, заложив в исходном коде Python вредоносную составляющую.

В JFrog также отмечают, что токен обнаружился внутри контейнера Docker, он лежал в скомпилированном Python-файле «build.cpython-311.pyc».

28 июня 2024 года эксперты передали информацию об утечке, связанной, как оказалось, с аккаунтом администратора PyPI Дарбина. Исследователи не нашли признаков использования токена в аатках.

 

«При разработке cabotage-app5 локально и работе над частью кодовой базы я постоянно сталкивался с ограничениями по скорости API GitHub. Как правило, такие ограничения применяются к анонимному доступу», — объяснял сам Дарбин.

«Я изменил свои локальные файлы, добавив туда собственный токен доступа, хотя должен был настроить приложение GitHub».

Яндекс включил в карты новый режим для защиты от сбоев GPS

В «Яндекс Картах» появился новый режим навигации «По шагам». Он предназначен для районов, где возникают проблемы с определением геопозиции. Чтобы включить режим, достаточно нажать специальную кнопку на экране — при этом карта фиксируется и больше не зависит от данных геолокации.

Как рассказали в «Яндексе» изданию «Коммерсантъ», после активации режима маршрут разбивается на последовательные этапы с указанием направления движения, расстояния до следующей точки и ближайшего ориентира.

Кроме того, при слабом сигнале сервисы «Карты» и «Навигатор» предлагают пользователю уточнить своё местоположение. Оно фиксируется вручную, что помогает избежать резких «телепортаций» на карте при сбоях в работе GPS и других спутниковых систем позиционирования.

Массовые проблемы с GPS впервые возникли в 2023 году после атаки беспилотников на Кремль. Тогда спецслужбы начали активно использовать генераторы помех, что заметно повлияло на работу систем геопозиционирования.

«Мы стремимся улучшить опыт водителей в „Картах“ и „Навигаторе“ и сделать поездки более предсказуемыми даже при нестабильном сигнале GPS, — прокомментировал старший менеджер продукта команды „Навигации“ в „Яндекс Картах“ Артём Звягин. — Новый режим помогает избежать „телепортаций“ и показывает ключевые ориентиры, чтобы пользователи могли комфортно продолжать движение во время сбоев геопозиции».

RSS: Новости на портале Anti-Malware.ru