PyPI推新規防堵ZIP混淆攻擊保護Python套件安全
- Hao Chen Lu
- 8月8日
- 讀畢需時 1 分鐘
Source: IThome新聞
Python官方套件庫PyPI宣布強化上傳端審核，目標是封鎖利用ZIP解析差異的混淆攻擊。 由於常用安裝器uv在解壓ZIP檔時的處理方式，與多數採用標準函式庫zipfile模組的工具不同，攻擊者可能藉由構造特殊或惡意ZIP，讓其在不同安裝工具中解壓出不同內容，進而繞過檢測或審核。Python官方套件庫PyPI宣布強化上傳端審核，目標是封鎖利用ZIP解析差異的混淆攻擊。 由於常用安裝器uv在解壓ZIP檔時的處理方式，與多數採用標準函式庫zipfile模組的工具不同，攻擊者可能藉由構造特殊或惡意ZIP，讓其在不同安裝工具中解壓出不同內容，進而繞過檢測或審核。 See more: https://www.ithome.com.tw/news/170489
Comentarios