Pythonパッケージに不正追加の“AWS認証情報を盗む機能”はこうして見つかった

AWSの認証情報の流出につながる不正な機能が、Pythonのパッケージ「ctx」に追加される問題が発生した。この問題はどのような経緯で明らかになったのか。注意点とは。

公開 2022年07月12日 08時15分

著者

Shaun Nichols

[TechTarget]

印刷する連載新着通知を受け取る

　プログラミング言語「Python」のパッケージ（プログラム部品をまとめた「モジュール」の集合体）である「ctx」に、悪意のある機能が含まれていた。セキュリティ研究者は、これにより、Amazon Web Services（AWS）の同名クラウドサービス群の認証情報が流出する恐れがあるとみて警戒を呼び掛けている。

ctxへの「AWS認証情報を盗む機能」不正追加が見つかるまで

併せて読みたいお薦め記事

「Python」の知識を深めるには

　悪意のある機能を発見したのは、情報セキュリティ教育を手掛けるSANS Instituteの研究者、イーチン・トク氏だ。トク氏は2022年5月24日（米国時間、以下同じ）、同社の公式ブログで明らかにした。現在、悪意のある機能は削除されているが、「開発者はこの機能をシステムに組み込んでいないかどうかを確認する必要がある」とトク氏は言う。

　トク氏によれば、悪意のある機能を発見したきっかけになったのは、ユーザーからctxに更新があったとの報告があったことだ。ctxは2014年12月以降、更新されていなかったが、2022年5月21日に「突然更新があった」とトク氏は述べる。同氏は更新の詳細を調べたところ、AWSの認証情報を探し出すための不正機能が加えられたことに気付いた。

　特に機密情報をAWSのデータベースで処理している企業は「注意が必要だ」とトク氏は言う。同氏によると、ctxの更新を実施せず、悪意のある機能を実行すれば、AWSの認証情報が流出する恐れがある。

　企業は「pip」をはじめとするパッケージ管理ツールで、Pythonのパッケージを更新できる。ただし企業の開発者は「更新を自動的に実施されるものだと捉え、変更内容を確認しないことがある」とトク氏は注意を促す。

　後編は、ctxが乗っ取られた原因を考える。

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

印刷する

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Shaun Nichols

15年以上にわたる記者経験を持ち、まだスマートフォンがなかった時代から企業向けIT市場を取材してきた。組み込みシステム開発やスーパーコンピュータなど幅広い分野をカバー。米TechTargetの記事を執筆する傍ら、米エネルギー省（DOE）の研究所であるLawrence Berkeley National Laboratory（ローレンス・バークレー国立研究所）の出版物や企業IT情報サイト「The Register」にも寄稿している。サンフランシスコのベイエリアに住み、趣味は料理、ガーデニング、ビデオゲーム、スポーツ観戦。NFL（ナショナルフットボールリーグ）チーム「San Francisco 49ers」やMLB（メジャーリーグベースボール）チーム「San Francisco Giants」の大ファンだと自称する。