Pythonパッケージに不正追加の“AWS認証情報を盗む機能”はこうして見つかったPython「ctx」に見つかった不正機能の正体【前編】

AWSの認証情報の流出につながる不正な機能が、Pythonのパッケージ「ctx」に追加される問題が発生した。この問題はどのような経緯で明らかになったのか。注意点とは。

2022年07月12日 08時15分 公開
[Shaun NicholsTechTarget]

 プログラミング言語「Python」のパッケージ(プログラム部品をまとめた「モジュール」の集合体)である「ctx」に、悪意のある機能が含まれていた。セキュリティ研究者は、これにより、Amazon Web Services(AWS)の同名クラウドサービス群の認証情報が流出する恐れがあるとみて警戒を呼び掛けている。

ctxへの「AWS認証情報を盗む機能」不正追加が見つかるまで

 悪意のある機能を発見したのは、情報セキュリティ教育を手掛けるSANS Instituteの研究者、イーチン・トク氏だ。トク氏は2022年5月24日(米国時間、以下同じ)、同社の公式ブログで明らかにした。現在、悪意のある機能は削除されているが、「開発者はこの機能をシステムに組み込んでいないかどうかを確認する必要がある」とトク氏は言う。

 トク氏によれば、悪意のある機能を発見したきっかけになったのは、ユーザーからctxに更新があったとの報告があったことだ。ctxは2014年12月以降、更新されていなかったが、2022年5月21日に「突然更新があった」とトク氏は述べる。同氏は更新の詳細を調べたところ、AWSの認証情報を探し出すための不正機能が加えられたことに気付いた。

 特に機密情報をAWSのデータベースで処理している企業は「注意が必要だ」とトク氏は言う。同氏によると、ctxの更新を実施せず、悪意のある機能を実行すれば、AWSの認証情報が流出する恐れがある。

 企業は「pip」をはじめとするパッケージ管理ツールで、Pythonのパッケージを更新できる。ただし企業の開発者は「更新を自動的に実施されるものだと捉え、変更内容を確認しないことがある」とトク氏は注意を促す。


 後編は、ctxが乗っ取られた原因を考える。

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

Copyright © ITmedia, Inc. All Rights Reserved.

鬯ッ�ョ�ス�ォ�ス�ス�ス�エ�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ー鬯ッ�ッ�ス�ィ�ス�ス�ス�セ�ス�ス�ス�ス�ス�ス�ス�ケ�ス�ス�ス�ス驍オ�コ�ス�、�ス縺、ツ€鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ陷ソ髢€�セ證ヲ�ソ�ス�ス�ス�ス�ス�ス�ク鬮ッ�キ�ス�エ�ス�ス�ス�・�ス�ス�ス�ス�ス�ス�ス�。鬯ッ�ゥ陝キ�「�ス�ス�ス�「�ス�ス�ス�ス�ス�ス�ス�ァ�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�、鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ闕ウ�サ�ス�ス髫カ謐コ�サ繧托スス�ソ�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ髮懶ス」�ス�ス�ス�「�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�シ鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ闕オ證ヲ�ソ�ス�ス�ス�ス�ス�ス�ス�ス�サ�ス�ス�ス�ス�ス�ス�ス�」�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス

製品資料 株式会社エーアイセキュリティラボ

最短10分で診断を開始、脆弱性診断の内製化を簡単に実現するツールとは?

自社のWebサービスやアプリの安全性をチェックする脆弱性診断は、これまでIT部門で担当することが多かったが、開発部門や事業部門でも実施したいというニーズが高まっている。求められているのは、より手軽な脆弱性診断ツールだ。

市場調査・トレンド ゼットスケーラー株式会社

従来型SD-WANはもう限界? 防御強化と運用簡素化を実現するゼロトラスト実践術

クラウドの活用や拠点の分散が進む中で、従来型SD-WANの脆弱性がランサムウェア攻撃を増大させる一因になっている。今こそゼロトラスト型アーキテクチャのアプローチが求められているといえるだろう。本資料では、その方法を解説する。

製品資料 伊藤忠テクノソリューションズ株式会社

シングルベンダーSASEリーダーのNetskopeの実力とは?

企業のITシステムがクラウドに移行するに伴い、サイバー脅威のリスク増大やネットワークパフォーマンスの低下が問題視されている。そこで本資料では、世界の50以上の地域にデータセンターを擁するNetskope SASEソリューションを紹介する。

市場調査・トレンド HENNGE株式会社

約2分の動画で分かる:ゼロデイ攻撃への対策が難しい理由と有効な予防策

ネットワークの機器やソフトウェアなどの脆弱性を突く手法であるゼロデイ攻撃は、修正プログラムがリリースされるまでの期間に攻撃を行うため、抜本的な対策が難しいといわれている。本動画では、その理由と有効な対策を紹介する。

製品レビュー HENNGE株式会社

2分で分かる、期限切れドメインを悪用する「ドロップキャッチ」の手口と対策

事業者が運用してきたドメインを手放した直後に、第三者がそれを取得し、偽サイトなどを公開して悪用する「ドロップキャッチ」という攻撃の手口がある。このような不正を未然に防ぐための対策を、2分弱の動画で解説する。

鬩幢ス「隴主�蜃ス�ス雜」�ス�ヲ鬩幢ス「隰ィ魑エツ€鬩幢ス「隴趣ス「�ス�ス�ス�シ鬩幢ス「�ス�ァ�ス�ス�ス�ウ鬩幢ス「隴趣ス「�ス�ス�ス�ウ鬩幢ス「隴趣ス「�ス�ソ�ス�ス�ス雜」�ス�ヲ鬩幢ス「隴趣ス「�ス�ソ�ス�スPR

From Informa TechTarget

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは

いまさら聞けない「仮想デスクトップ」と「VDI」の違いとは
遠隔のクライアント端末から、サーバにあるデスクトップ環境を利用できる仕組みである仮想デスクトップ(仮想PC画面)は便利だが、仕組みが複雑だ。仮想デスクトップの仕組みを基礎から確認しよう。

繧「繧ッ繧サ繧ケ繝ゥ繝ウ繧ュ繝ウ繧ー

2025/05/25 UPDATE

  1. 縲瑚コォ莉」驥代r謾ッ謇輔≧縲堺サ・螟悶�繝ゥ繝ウ繧オ繝�繧ヲ繧ァ繧「蟇セ遲悶�譛ャ蠖薙↓縺ゅk縺ョ縺具シ�
  2. 繝代せ繝ッ繝シ繝峨h繧雁ョ牙�縺ァ隕壹∴繧�☆縺�€後ヱ繧ケ繝輔Ξ繝シ繧コ縲阪�菴懊j譁ケ
  3. 窶懆、�尅縺ェ繝代せ繝ッ繝シ繝俄€昴h繧翫€後ヱ繧ケ繝輔Ξ繝シ繧コ縲阪r蟆る摩螳カ縺悟匡繧√k逅�罰
  4. 閼�シア諤ァ隴伜挨蟄舌€靴VE縲阪↓遯∝ヲゅ→縺励※險ェ繧後◆窶懷ュ倅コ。縺ョ讖溪€昴€€縺薙l縺九i縺ゥ縺�↑繧具シ�
  5. macOS縺ョ繝�ヵ繧ゥ繝ォ繝育┌蜉ケ縺ョ縲後ヵ繧。繧、繧「繧ヲ繧ゥ繝シ繝ォ縲阪r菴ソ縺�∋縺咲炊逕ア縺ィ縺ッ��
  6. 繧サ繧ュ繝・繝ェ繝�ぅ繝��繝ォ髢狗匱縺瑚ィエ險溘Μ繧ケ繧ッ縺ォ�溘€€Meta縺ョ242蜆��蜍晁ィエ縺ァ襍ー繧銀€懈ソ€髴�€�
  7. Apple繧偵□縺セ縺吮€懊≠縺ョ隧先ャコ窶昴�謇句哨縺ィ蜊ア髯コ諤ァ
  8. Android繧ケ繝槭�縺檎、コ縺�7縺、縺ョ窶懷些髯コ縺ェ蜈�€吮€昴→縺ッ�溘€€莉翫☆縺舌d繧九∋縺阪�繝ォ繧ヲ繧ァ繧「蟇セ遲�
  9. 縺ゥ繧後□縺代〒縺阪※縺�k�溘€€縺セ縺輔°縺ョ縲後ョ繝シ繧ソ豬∝�縲阪r髦イ縺絶€�11蛟九�隕∫せ窶�
  10. 繝ゥ繝ウ繧オ繝�繧ヲ繧ァ繧「蟇セ遲悶�譛ャ蠖薙↓荳���溘€€繝舌ャ繧ッ繧「繝��縺ョ隕狗峩縺�7螟ァ繝昴う繝ウ繝�

Pythonパッケージに不正追加の“AWS認証情報を盗む機能”はこうして見つかった:Python「ctx」に見つかった不正機能の正体【前編】 - TechTargetジャパン セキュリティ 鬮ォ�エ�ス�ス�ス�ス�ス�ー鬯ィ�セ�ス�ケ�ス縺、ツ€鬯ョ�ォ�ス�ェ髯区サゑスソ�ス�ス�ス�ス�コ�ス�ス�ス�ス

TechTarget鬩幢ス「�ス�ァ�ス�ス�ス�ク鬩幢ス「隴趣ス「�ス�ス�ス�」鬩幢ス「隴乗��ス�サ�ス�」�ス雜」�ス�ヲ 鬮ォ�エ�ス�ス�ス�ス�ス�ー鬯ィ�セ�ス�ケ�ス縺、ツ€鬯ョ�ォ�ス�ェ髯区サゑスソ�ス�ス�ス�ス�コ�ス�ス�ス�ス

鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ陷ソ髢€�セ證ヲ�ソ�ス�ス�ス�ス�ス�ス�ク鬮ッ�キ�ス�エ�ス�ス�ス�・�ス�ス�ス�ス�ス�ス�ス�。鬯ッ�ゥ陝キ�「�ス�ス�ス�「�ス�ス�ス�ス�ス�ス�ス�ァ�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�、鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ闕ウ�サ�ス�ス髫カ謐コ�サ繧托スス�ソ�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ髮懶ス」�ス�ス�ス�「�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�シ鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ闕オ證ヲ�ソ�ス�ス�ス�ス�ス�ス�ス�ス�サ�ス�ス�ス�ス�ス�ス�ス�」�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ髮懶ス」�ス�ス�ス�「�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ゥ鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ髮懶ス」�ス�ス�ス�「�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ウ鬯ッ�ゥ陝キ�「�ス�ス�ス�「�ス�ス�ス�ス�ス�ス�ス�ァ�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ュ鬯ッ�ゥ陝キ�「�ス�ス�ス�「鬮ォ�エ髮懶ス」�ス�ス�ス�「�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ウ鬯ッ�ゥ陝キ�「�ス�ス�ス�「�ス�ス�ス�ス�ス�ス�ス�ァ�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ス�ー

2025/05/26 UPDATE

ITmedia マーケティング新着記事

news027.png

「ECプラットフォーム」売れ筋TOP10(2025年5月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。

news023.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年5月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...

news025.png

「マーケティングオートメーション」 国内売れ筋TOP10(2025年5月)
今週は、マーケティングオートメーション(MA)ツールの売れ筋TOP10を紹介します。