Pythonにおけるimportの危険性とは 全ての運用関係者が知っておくべきPython特有のセキュリティリスク
Pythonにおけるimportの危険性とは 全ての運用関係者が知っておくべきPython特有のセキュリティリスク：便利だが攻撃者による悪用の可能性も Pythonのimportステートメントには、開発者や企業が注意する必要があるセキュリティリスクが伴う。これがどのように機能するのか、そしてなぜ簡単な解決策がないのかを解説する。 Pythonを使用する場合に対応が必要な、あまり注目されていないリスクが存在している。 最新のソフトウェア開発言語は全てモジュール式であるため、開発者はコードの大きなセクションを、より管理しやすい小さな部分に分割できる。これにより、通常はライブラリにグループ化されたコード単位を再利用できる。これらのライブラリは社内で作成されていないことが多く、グラフ作成、データベース接続、配列計算などの一般的なタスクを実行するために作成されたオープンソースコレクションだ。 コード
python(Flaskアプリ)からGoogle OAuthするための開発環境、本番環境の話 - Qiita
いつも苦労するので備忘録として pythonからGoogle OAuthする方法ですが、検索すると情報が古かったり、サービスアカウント使うやりかただったりして、個人のユーザーに対してサービス提供する為のやり方がいまいち分からなかったりしたのでまとめ。 必須事項 GCP使ってAPIキーを取得する Google_Client_IDとGoogle_Client_Secretは必須です redirect_uriは、帰ってくるURLを入れてください。これはGCPに設定したものと同じである必要があります OAuthするためのURIを生成する GOOGLE_DISCOVERY_URL = ( "https://accounts.google.com/.well-known/openid-configuration" ) def get_google_provider_cfg(): return requ
Azure ADを利用したDjango adminのSAML認証 - カンムテックブログ
SREの菅原です。 カンムのサービスのバックエンドは基本的にGoで書かれているのですが、一部の内部向け管理画面はPythonのフレームワークDjangoで作成されています。 スタッフがDjango adminページにログインして各種オペレーションを行うのですが、adminページにログインするためにはDjango adminのアカウントが必要です。 社内で使う各種サービスのアカウントは基本的にはAzure Active Directoryを使ったSSOで一元管理されていますが、管理用WebアプリはSAML対応の実装をしておらず、前段のロードバランサー(ALB)でOIDC認証しているものの、adminページ自体のアカウントは管理用Webアプリで追加しなければいけない状態でした。 管理用Webアプリが独自にアカウント管理してしまうと、個別にアカウントを作成する手間が増え、Azure ADでの一元
Python の Flask Web API に JWT認証（Flask-JWT-Extended）を組み込んだ - Qiita
はじめに 以前に、Python で作成した Flask Web API へ JWT (JSON Web Token) 認証を組み込みましたが、Python のバージョンを3.8系から3.11系に更新したところ、エラーが発生したため、flask-jwt を Flask-JWT-Extended へ切り替えてみました。 旧記事：Python の Flask Web API に JWT による認証を組み込む cannot import name 'Mapping' from 'collections' Python のバージョンを3.8系から3.11系に更新したところ、このようなエラーが発生しました。 ... from collections import Mapping ImportError: cannot import name 'Mapping' from 'collections' .
PyPI 2FA Security Key Giveaway
Giveaway has ended The givaway has closed as of Oct 1, 2022. Pictured: two Titan security keys, one USB-A and the other USB-C. (Source: Google) In order to improve the general security of the Python ecosystem, PyPI has begun implementing a two-factor authentication (2FA) requirement for critical projects. This requirement will go into effect in the coming months, and more details are included belo
Facebook、Pythonコードのセキュリティ問題解析ツール「Pysa」をオープンソースで公開
Pysaは「Python Static Analyzer」の頭文字を取ったもので、PythonのタイプチェッカーであるPyre上に構築されている。同社内では、Pythonのコードが、技術的なプライバシーポリシーに基づいてユーザーデータへのアクセスや開示を防ぐように設計された内部フレームワークを適切に使用しているかを確認したり、XSSやSQLインジェクションといった、一般的なWebアプリにおけるセキュリティ問題を検出したりするのに用いられる。 とりわけ、Instagramのサーバーを強化するためのコードベースのスケーリング支援に使用されており、手動なら数週間～数か月はかかるようなコード変更の際のコードベース品質とセキュリティの確認を、約1時間で実行できる。 同社は、Pythonでの開発においてDjangoやTornadoといったオープンソースのPythonサーバーフレームワークを使用している
The Mac Malware of 2019 👾
📝 👾 Want to play along? All samples covered in this post are available in our malware collection. \ …just make sure not to infect yourself! \ ⌛ Background Goodbye, 2019! and hello 2020 …a new decade! 🥳 For the fourth year in a row, I’ve decided to put together a blog post that comprehensively covers all the new Mac malware that appeared during the course of the year. While the specimens may hav
Pythonで実装されたマルウェア「PyXieRAT」はどこが危険なのか？
このほど、BlackBerry Cylanceの調査担当者は、これまで名称がなかったPythonで実装された遠隔操作用のマルウェアであるRAT(Remote Administration Tool)を発見し、PyXieと命名した。 同社はこのマルウェアが標的型攻撃を行うものとして、注意を呼び掛けているが、具体的には、どのようなリスクがあるのか。今回、BlackBerry Cylance 脅威解析チーム マネージャーの本城信輔氏に話を聞いた。 BlackBerry Cylance 脅威解析チーム マネージャー 本城信輔氏 本城氏によると、PyXieRATは少なくとも2018年から確認されていたが、同社は顧客のインシデント対応を行う中で、攻撃者が医療業界と教育業界にランサムウェアを配信しようとした痕跡を確認したという。同氏は「PyXieRATは広範囲の業界の企業に対し、持続的な標的型攻撃を行う
macOS +homebrew でopensslをソースからビルドしたPythonで使う - Qiita
超ハマったので共有がてら書いておきます。 macOS 10.14 MojaveでPython をソースから入れて pip installするとopensslにリンクできてないというエラーがでてしまいました。 よくよく調べるとimport ssl したときにこんなエラーがでるようになってしまった。 >>> import ssl Traceback (most recent call last): File "<stdin>", line 1, in <module> File "/opt/python-3.7.4/ssl.py", line 60, in <module> import _ssl # if we can't import it, let the error propagate ImportError: No module named _ssl ビルドする手順 ここではhome
悪意ある「Python」ライブラリーがPyPIで発見される--研究者が報告
これら3つのパッケージ（「libpeshnx」「libpesh」「libari」）は、同じユーザー（名前はruri12）によって作成されており、2017年11月以降、20カ月近くにわたってPyPIからダウンロード可能な状態にあった。2019年7月に入って、これらのパッケージは、ReversingLabsのセキュリティ研究者らによって発見された。 ReversingLabsは7月9日、PyPIのリポジトリメンテナーに通報し、PyPIのセキュリティチームはその日のうちにこれらのパッケージを削除した。 どのパッケージにも説明が記載されておらず、目的を特定するのは不可能だ。しかしPyPIの統計を見ると、これらのパッケージは定期的にダウンロードされており、それぞれが毎月何十回もインストールされていることが分かる。 悪意あるコードは、Linuxシステムにインストールされたときにのみ動きのある単純なバッ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Python」にセキュリティアップデート ～4件の脆弱性を修正／v3.10.8、v3.9.15、v3.8.15、v3.7.15が公開
Boffins rate npm and PyPI package security and it's not good
PyPI Is Rolling Out 2FA For Critical Projects, Giving Away 4,000 Security Keys - Slashdot
Python programming: PyPl is rolling out 2FA for critical projects, giving away 4,000 security keys
致命的な脆弱性を修正した「Python 3.7.9」が公開／特例でバイナリのアップデートを提供
Blog - Mikula Beutl - SEO Consulting