PyPIパッケージを危険にさらす「リバイバルハイジャック」とは「pingdomv3」に要注意

「Python Package Index」(PyPI)を使ったアプリケーションが攻撃者に狙われる可能性がある。悪用されるのはどのような脆弱(ぜいじゃく)性なのか。

2024年11月07日 05時00分 公開
[Alex ScroxtonTechTarget]

 プログラミング言語「Python」のソフトウェアリポジトリ「Python Package Index」(PyPI)を活用したアプリケーションが攻撃のリスクにさらされていると、セキュリティベンダーJFrogは警鐘を鳴らす。攻撃には「pingdomv3」というパッケージが使われる可能性がある。

PyPIパッケージを危険にする「リバイバルハイジャック」とは

 pingdomv3はSolarWindsのWebサイト監視ツール「Pingdom」のAPI(アプリケーションプログラミングインタフェース)「Pingdom API」に含まれるパッケージだ。

 JFrogは今回特定した攻撃手法を「リバイバルハイジャック」と呼ぶ。JFrogによると、リバイバルハイジャックはURLの入力ミスを利用して悪意のあるWebサイトに誘導する手口「タイポスクワッティング」に似ている。PyPIからパッケージが削除されると、同じ名前がすぐに再利用可能なることを攻撃者は悪用できるという。JFrogマルウェア研究チームリーダーのブライアン・ムサリ氏は、リバイバルハイジャックが危険な理由として、以下の3点を挙げる。

  • タイポスクワッティングとは異なり、被害者が入力ミスをしなくても攻撃を実行できること
  • 大半の開発者が既知の安全なパッケージを最新バージョンに更新することを習慣としており、セキュリティのリスクを意識していないこと
  • 継続的インテグレーション/継続的デリバリー(CI/CD)ツールがパッケージの更新を自動設定にしているものが珍しくないこと

 「PyPIユーザーは警戒を怠らず、リバイバルハイジャック攻撃の予防策を講じる必要がある」(ムサリ氏)。同氏と共同研究者のアンドレイ・ポルコブニチェンコ氏によると、最大12万件の削除済みPyPIパッケージが乗っ取られる可能性がある。

Computer Weekly発 世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。

Copyright © ITmedia, Inc. All Rights Reserved.

From Informa TechTarget

お知らせ
米国TechTarget Inc.とInforma Techデジタル事業が業務提携したことが発表されました。TechTargetジャパンは従来どおり、アイティメディア(株)が運営を継続します。これからも日本企業のIT選定に役立つ情報を提供してまいります。

ITmedia マーケティング新着記事

news046.png

「ECプラットフォーム」売れ筋TOP10(2025年4月)
今週は、ECプラットフォーム製品(ECサイト構築ツール)の国内売れ筋TOP10を紹介します。

news026.png

「パーソナライゼーション」&「A/Bテスト」ツール売れ筋TOP5(2025年4月)
今週は、パーソナライゼーション製品と「A/Bテスト」ツールの国内売れ筋各TOP5を紹介し...

news130.jpg

Cookieを超える「マルチリターゲティング」 広告効果に及ぼす影響は?
Cookieレスの課題解決の鍵となる「マルチリターゲティング」を題材に、AI技術によるROI向...