5 ธันวาคม 2562

Published ธันวาคม 05, 2562 by with 0 comment

ผู้ดูแล PyPI ลบ 2 ไลบรารีแอบขโมย SSH และกุญแจ GPG

jeIlyfish ใช้การสะกดผิดให้คล้ายกับไลบรารีดังที่ชื่อ jellyfish

สำนักข่าว ZDNet รายงานว่าทีมรักษาความปลอดภัยของ Python ได้ลบ 2 ไลบรารีออกจาก PyPI (Python Package Index) หลังจากตรวจสอบพบว่าสองไลบรารีนี้แอบขโมย SSH และกุญแจ GPG เมื่อวันที่ 1


โดยทั้งสองไลบรารีนี้พัฒนามาจากนักพัฒนาคนเดียวกันชื่อ olgired2017 แถมใช้ชื่อไลบรารีคล้ายกับไลบรารีดัง

ไลบรารีที่เป็นปัญหามีดังนี้
  • python3-dateutil เลียนแบบไลบรารีดังที่ชื่อ dateutil
  • jeIlyfish ใช้การสะกดผิดให้คล้ายกับไลบรารีดังที่ชื่อ jellyfish
ใครที่อยู่ในกลุ่มเสี่ยง รีบตรวจสอบไลบรารีที่ติดตั้งได้ด้วยคำสั่ง pip list --format columns

ถ้าเจอสองไลบรารีดังกล่าว ให้รีบลบไลบรารีเหล่านี้ทิ้งด้วยคำสั่ง pip uninstall python3-dateutil jeIlyfish แล้วเปลี่ยน SSH และกุญแจ GPG พร้อมกับสแกนไวรัสให้เรียบร้อย

ที่มา : Two malicious Python libraries caught stealing SSH and GPG keys | ZDNet

0 ความคิดเห็น:

โพสต์ความคิดเห็น

แสดงความคิดเห็นได้ครับ :)