PyPI、22,000件以上の削除済みパッケージに乗っ取りの可能性
マイナビニュース / 2024年9月6日 9時48分
JFrogは9月4日(米国時間)、「Revival Hijack - PyPI hijack technique exploited in the wild, puts 22K packages at risk|JFrog」において、正常な手続きにより削除されたPyPI(Python Package Index:Python のパッケージを公開するためのリポジトリ)プロジェクトを再登録するリバイバルハイジャック(Revival Hijack)に注意を喚起した。22,000件以上の削除済みパッケージに乗っ取りの可能性があると指摘している。
○リバイバルハイジャックの概要
リバイバルハイジャックはプロジェクトの削除後に、攻撃者が同じ名前でプロジェクトを再登録する攻撃手法。プロジェクトから配布されていたパッケージの利用者は、所有者が切り替わったことを認識できず、悪意のあるパッケージにアップデートする可能性がある。
オンライン上にはさまざまなプロジェクト管理プラットフォームが存在するが、削除したプロジェクト名の取り扱いに統一性はなく、再登録に制限を設けているプラットフォームも存在する。PyPIではプロジェクトがブラックリストに載っていなければ、削除した直後に再登録が可能なため、リバイバルハイジャック可能とされる。
また、PyPIパッケージの管理に使用される「pip」コマンドは、管理者が切り替わったことを認識せず、再登録されたプロジェクトのパッケージを「新しいバージョン」として認識する。そのため、プロジェクトを検査せずに「pip install --upgrade」コマンドを使用するユーザーは被害に遭う可能性がある。
○影響と対策
JFrogの調査によると、削除されたPyPIパッケージの単純な総数は約12万件とされる。これらのうち、ダウンロード数が10万回を超えるか、または6カ月以上アクティブだった正常なパッケージは2万2,000件以上とされる。
これらパッケージは潜在的にリバイバルハイジャックの可能性がある。JFrogは攻撃を防止するため「security_holding」という名前のアカウントを作成し、削除されたパッケージの一部を安全にハイジャックしたという。そのため、現在は保護対象のパッケージをハイジャックして攻撃することはできない。
なお、上記の策を講じてから3カ月後に影響を調査したところ、ハイジャックしたパッケージ(アップデートを避けるためバージョンは0.0.0.1)のダウンロード数が約20万回に達したという。これはパッケージを自動的にダウンロードする何かしらの処理が動作しているか、または誤ってダウンロードしたものと推測されている。
JFrogはリバイバルハイジャックを防止するため、PyPIに対しプロジェクト(パッケージ)名の再登録を完全に禁止する厳格なポリシーを採用するように求めている。また、PyPIの利用者にはパッケージのアップデート前に、プロジェクトの管理者に変更がないかどうか、毎回確認することを推奨している。
(後藤大地)
外部リンク
この記事に関連するニュース
-
Chromeのゼロデイ脆弱性を北朝鮮の攻撃者が悪用、すぐ更新を
マイナビニュース / 2024年9月2日 10時49分
-
LINE公式アカウントで乗っ取り被害、発覚1カ月後に公表 “友達”ユーザーに不審なメッセージ送信
ITmedia NEWS / 2024年8月27日 12時42分
-
シスコのスイッチ狙う中国の脅威グループ、メモリからマルウェア再構築
マイナビニュース / 2024年8月25日 11時21分
-
出張のホテルや交通機関に潜むセキュリティ脅威 予約サイトで100カ所超の宿泊施設が偽装被害
東洋経済オンライン / 2024年8月22日 9時0分
-
横行するドメイン乗っ取り、100万件超が標的に 「いいカモ」にならないための対策は?
ITmedia NEWS / 2024年8月8日 8時5分
ランキング
-
1ついに1kg切りの「ThinkPad X1 Carbon」登場! Lenovoが新CPU「CoreUltra2」搭載ノートなど10機種のAI-PCを発表
ASCII.jp / 2024年9月6日 6時0分
-
2「へー知らんかった」 わずか7年で“消えた駅” 東京メトロが明かす“知れば納得の歴史” 「だからあんなに……」
ねとらぼ / 2024年9月6日 7時15分
-
3グーグル、Androidの“重大”な脆弱性を修正するアップデート 早めに更新を
ASCII.jp / 2024年9月5日 12時30分
-
4HD-2D版『ドラクエ3』女戦士のビジュアルにファン騒然「配慮すればいいってもんじゃねーぞ」
マグミクス / 2024年9月5日 21時55分
-
5台湾制圧までにおける中国が描く具体的シナリオとは?
マイナビニュース / 2024年9月6日 6時35分
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/mission_close_icon.png)
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/point-loading.png)
エラーが発生しました
ページを再読み込みして
ください
![](/pc/img/mission/mission_close_icon.png)