Pythonパッケージに不正追加の“AWS認証情報を盗む機能”はこうして見つかったPython「ctx」に見つかった不正機能の正体【前編】

AWSの認証情報の流出につながる不正な機能が、Pythonのパッケージ「ctx」に追加される問題が発生した。この問題はどのような経緯で明らかになったのか。注意点とは。

2022年07月12日 08時15分 公開
[Shaun NicholsTechTarget]

 プログラミング言語「Python」のパッケージ(プログラム部品をまとめた「モジュール」の集合体)である「ctx」に、悪意のある機能が含まれていた。セキュリティ研究者は、これにより、Amazon Web Services(AWS)の同名クラウドサービス群の認証情報が流出する恐れがあるとみて警戒を呼び掛けている。

ctxへの「AWS認証情報を盗む機能」不正追加が見つかるまで

 悪意のある機能を発見したのは、情報セキュリティ教育を手掛けるSANS Instituteの研究者、イーチン・トク氏だ。トク氏は2022年5月24日(米国時間、以下同じ)、同社の公式ブログで明らかにした。現在、悪意のある機能は削除されているが、「開発者はこの機能をシステムに組み込んでいないかどうかを確認する必要がある」とトク氏は言う。

 トク氏によれば、悪意のある機能を発見したきっかけになったのは、ユーザーからctxに更新があったとの報告があったことだ。ctxは2014年12月以降、更新されていなかったが、2022年5月21日に「突然更新があった」とトク氏は述べる。同氏は更新の詳細を調べたところ、AWSの認証情報を探し出すための不正機能が加えられたことに気付いた。

 特に機密情報をAWSのデータベースで処理している企業は「注意が必要だ」とトク氏は言う。同氏によると、ctxの更新を実施せず、悪意のある機能を実行すれば、AWSの認証情報が流出する恐れがある。

 企業は「pip」をはじめとするパッケージ管理ツールで、Pythonのパッケージを更新できる。ただし企業の開発者は「更新を自動的に実施されるものだと捉え、変更内容を確認しないことがある」とトク氏は注意を促す。


 後編は、ctxが乗っ取られた原因を考える。

TechTarget発 先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

ITmedia マーケティング新着記事

news172.jpg

デジタルサイネージ一体型自動ドアによる広告配信サービス ナブテスコが提供
ナブテスコがデジタルサイネージ一体型自動ドアを広告メディアとして利用する新サービス...

news072.jpg

Threadsで目立つ投稿をするには? Metaがフィードアルゴリズムの仕組みに関する洞察を公開
X(旧Twitter)に変わるものとして期待されるMetaの短文投稿SNS「Threads」。Metaが公開...

news061.jpg

マーケターの87%は自分の仕事が生成AIなどのテクノロジーに取って代わられることを懸念――Gartner調査
Gartnerがマーケティング人材に関する調査を実施。環境的不確実性と技術的複雑性の中で、...