「pingdomv3」に要注意

PyPIパッケージを危険にさらす「リバイバルハイジャック」とは

「Python Package Index」（PyPI）を使ったアプリケーションが攻撃者に狙われる可能性がある。悪用されるのはどのような脆弱（ぜいじゃく）性なのか。

公開 2024年11月07日 05時01分

[TechTarget]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　プログラミング言語「Python」のソフトウェアリポジトリ「Python Package Index」（PyPI）を活用したアプリケーションが攻撃のリスクにさらされていると、セキュリティベンダーJFrogは警鐘を鳴らす。攻撃には「pingdomv3」というパッケージが使われる可能性がある。

PyPIパッケージを危険にする「リバイバルハイジャック」とは

併せて読みたいお薦め記事

OSSを巡るセキュリティリスクとは

　pingdomv3はSolarWindsのWebサイト監視ツール「Pingdom」のAPI（アプリケーションプログラミングインタフェース）「Pingdom API」に含まれるパッケージだ。

　JFrogは今回特定した攻撃手法を「リバイバルハイジャック」と呼ぶ。JFrogによると、リバイバルハイジャックはURLの入力ミスを利用して悪意のあるWebサイトに誘導する手口「タイポスクワッティング」に似ている。PyPIからパッケージが削除されると、同じ名前がすぐに再利用可能なることを攻撃者は悪用できるという。JFrogマルウェア研究チームリーダーのブライアン・ムサリ氏は、リバイバルハイジャックが危険な理由として、以下の3点を挙げる。

タイポスクワッティングとは異なり、被害者が入力ミスをしなくても攻撃を実行できること
大半の開発者が既知の安全なパッケージを最新バージョンに更新することを習慣としており、セキュリティのリスクを意識していないこと
継続的インテグレーション／継続的デリバリー（CI/CD）ツールがパッケージの更新を自動設定にしているものが珍しくないこと

　「PyPIユーザーは警戒を怠らず、リバイバルハイジャック攻撃の予防策を講じる必要がある」（ムサリ氏）。同氏と共同研究者のアンドレイ・ポルコブニチェンコ氏によると、最大12万件の削除済みPyPIパッケージが乗っ取られる可能性がある。

Computer Weekly発　世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。

印刷する

Computer Weekly発　世界に学ぶIT導入・活用術

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Alex Scroxton

米TechTargetの電子週刊誌『Computer Weekly』でセキュリティ分野の記事編集を手掛ける。同社の電子月刊誌『MicroScope』で記者を務めた後、2014年5月からComputer Weeklyの編集に従事。2003年、サセックス大学（University of Sussex）で社会人類学の学士号を取得している。