Pythonの古いパッケージ、乗っ取られて情報窃取の機能が追加されていた

人気の高いプログラミング言語であるPythonには、膨大な量のパッケージコレクションが存在している。開発者はこうしたパッケージコレクションを通じて、開発に必要な機能を取得して利用している。パッケージコレクションアップデートも簡単に行え、開発において欠かすことのできない機能となっている。 しかし最近では、この機能がサイバー犯罪者に悪用されるケースが出てきている。パッケージを通じてマルウェアへの感染を促すケースから、情報窃取を行うケースまでさまざまだ。開発者はパッケージコレクションに登録されているパッケージは安全なものと認識しているが、実際にはこのようにリスクの高い「偽のパッケージ」が含まれていることがしばしば指摘されるようになってきている。 SANS Internet Storm Centerが5月24日(米国時間)、「ctx Python Library Updated with "Ext

[kazkun]

OSSの永遠の問題だなあ。ドメインとかではなくて、個人を証明する仕組みを考えていかないとならん時代か。

[nilab]

「開発者はパッケージコレクションに登録されているパッケージは安全なものと認識しているが、実際にはこのようにリスクの高い「偽のパッケージ」が含まれていることがしばしば指摘されるようになってきている」

[poad1010]

この記事をおすすめしました:

[natural90000]

チナがツイてた

[knok]

Debianみたいに対面でパスポートなどの公式IDを確認してpgp相互署名するぐらいやらないといかんのかねえ

[YaSuYuKi]

たまたまPythonだっただけで、どこでも同様の攻撃を受ける可能性がある

[puruhime]

パッケージ管理システムの宿命よね / 一定期間更新がないパッケージは上書き禁止にするといいのかしら

[t2y-1979]

pypa が作者と連絡をとって場合によってはパッケージ削除とかできないのかなぁ