Утечка паролей через PyTorch Lightning

Введение: 30 апреля на PyPI была обнаружена новая версия PyTorch Lightning, содержащая вредоносный код. Это событие является серьезным предупреждением о потенциальных угрозах безопасности в популярных библиотеках и фреймворках. Вредоносный код мог быть использован для кражи паролей и компрометации данных.

Подробности

Вредоносный код был обнаружен в новой версии PyTorch Lightning, которая при импорте скачивала Bun и запускала 11,4 МБ опасного JavaScript-вора. Целью атаки были браузеры, облачные API и GitHub-токены. Всего одна строчка импорта: import lightning — и все ваши API-ключи и данные могли быть скомпрометированы. К сожалению, нет информации о CVE для этого инцидента.

Что делать

Для предотвращения подобных атак рекомендуется использовать безопасные методы аутентификации, такие как MFA, и регулярно обновлять свои библиотеки и фреймворки до последних версий. Также важно использовать VPN и TLS для защиты передачи данных. Кроме того, рекомендуется тщательно проверять код перед его использованием в производстве. Итог: Инцидент с PyTorch Lightning является серьезным предупреждением о потенциальных угрозах безопасности в популярных библиотеках и фреймворках. Регулярные обновления и проверки кода могут помочь предотвратить подобные атаки.

Источник: Хабр — Информационная безопасность