утечка данных киберугрозы безопасность open source Docker element-data Python Package Index компрометация

Компрометация популярного пакета element-data

Популярный open source-пакет element-data, используемый для мониторинга производительности и аномалий в системах машинного обучения, был скомпрометирован. Злоумышленники эксплуатировали уязвимость в рабочем процессе разработчиков, получив доступ к подписывающим ключам и другой конфиденциальной информации.

Что произошло?

В пятницу неизвестные злоумышленники использовали уязвимость, чтобы опубликовать новую версию 0.23.3 пакета element-data. Этот пакет, представляющий собой интерфейс командной строки (CLI), был размещён в репозиториях Python Package Index и Docker Image. Вредоносная версия была удалена примерно через 12 часов, в субботу.

По данным разработчиков, при запуске пакета 0.23.3 происходил сбор конфиденциальных данных, включая:

  • учётные записи пользователей;
  • учётные данные для доступа к хранилищам данных;
  • ключи облачных провайдеров;
  • API-токены;
  • SSH-ключи.

Какие версии не пострадали?

Пострадала только версия 0.23.3. Пакеты Elementary Cloud, Elementary dbt и другие версии CLI не были затронуты.

Рекомендации для пользователей

«Пользователи, установившие версию 0.23.3 или использовавшие заражённый Docker-образ, должны считать, что любые учётные данные, доступные в среде выполнения, могли быть скомпрометированы», — сообщают разработчики.

Эксперты рекомендуют пользователям немедленно проверить и обновить все учётные данные, которые могли быть доступны в среде, где выполнялся пакет 0.23.3.

Источник: Ars Technica
Японский спорткар Mazda MX-5 превратился в Aston Martin: уникальная переделка от Simpson Design
← Назад

Японский спорткар Mazda MX-5 превратился в Aston Martin: уникальная пе...

 Джеффрис защищает фразу «максимальная война» и обвиняет республиканцев в фальшивой критике
Вперёд →

Джеффрис защищает фразу «максимальная война» и обвиняет республиканцев...