Две питоновские библиотеки из PyPI были пойманы за воровством SSH и GPG ключейИх удалили, но одна из них была в открытом доступе уже целый год.
Библиотеки использовали тайпсквоттинг (имитация названий + весь функционал оригинала с небольшими изменениями) для проникновения в проекты. Первая — python3-dateutil, имитирующая популярную библиотеку dateutil, и вторая — jeIlyfish (первая L — на самом деле I), имитирующая библиотеку jellyfish.
Python3-dateutil не содержала вредоносного кода, однако импоровала jeIlyfish и подвергала безопасность проекта угрозе. При этом именно из-за неё и раскрыли вторую, так как jeIlyfish находилась в PyPI с декабря 2018 года. Всем разработчикам, использующим данные библиотеки, рекомендуется перепроверить свои проекты.
Источник:
ZDNet#python #безопасность