מה היה צריך לעשות חוקר האבטחה כי לפרוץ לענקיות הטכנולוגיה?
להעלות חבילות זדוניות לספריות ציבוריות, כמו PyPI
הבעיה האמיתית של הגילוי הזה החלה לצוף בתחילת 2021, אז חוקר אבטחה חשף כי הצליח לפרוץ לענקיות כמו אפל, מיקרוסופט, טסלה ופייפאל בקלילות. כל שהוא היה צריך לעשות כדי לפרוץ למי שנחשבות ככמעט בלתי פריצות הוא להעלות חבילות זדוניות לספריות ציבוריות, כמו PyPI. במקרה שלו, הוא פשוט השתמש באותו השם לחבילות שנמצאות בשימוש של אותן ענקיות, ויותר מ-35 ארגונים נפלו בפח ומשכו את החבילות. באופן קצת אירוני, אותו חוקר ציין גם את JFrog Artifactory בתור גורם שמכיל את אותה חולשה, אך בחברה טענו בזמנו כי המערכת מאפשרת לסנן ספריות תוכנה ממקורות חיצוניים בדיוק בשביל להימנע ממתקפה זו.
חוקר אבטחה הצליח לפרוץ לחברות טכנולוגיה גדולות על ידי העלאת חבילות זדוניות לספריות ציבוריות כמו PyPI.