TL; DR
Sehlopha sa liphutheloana tsa PyPI se alimile lebitso la uv, mookameli oa sephutheloana sa Python se potlakileng le se tsebahalang haholo sa Rust, ea iketsang bathusi ba UV. Ha ba romelle ts'ebetso ea 'nete. Seo ba se jereng ho fapana le hoo ke mojaro o lefang oa Windows o emang Seva ea JupyterLab e nang le netefatso e timiloe 'me, liphetolelong tsa morao-rao, e e phatlalatsa inthaneteng ea sechaba ka kotopo e ka morao.
Ke pale eohle moleng o le mong: lebitso la sesebelisoa se tšepahalang e le leraba, le JupyterLab e le enjene ea ho phethahatsa khoutu e hole. Seva ea Jupyter e tsamaisa khoutu efe kapa efe eo u e thaepang ho e sengebook sele; e 'ngoe e qalisoang ka letshwao le se nang letho 'me e tlameletsoe ho sebopeho se seng le se seng sa marang-rang ke toloko e bulehileng eo mang kapa mang ea ka fihlang koung a ka e khannang.
Re latela sehlopha joalo ka FauxUVLiphutheloana tse peli tse hlahlobiloeng ke moon-uv (0.0.1-0.0.16) le my-magic-uv-helper (0.0.1), e phatlalalitsoeng ke opareitara e tšoanang 'me e phela ho PyPI nakong ea tlhahlobo.
| Ts'ebetso | PyPI |
| Packages | moon-uv (0.0.1-0.0.16), my-magic-uv-helper (0.0.1) |
| Sethala se shebaneng le sona | Windows |
| Boitšoaro ba mantlha | Seva sa JupyterLab se sa netefatsoang, se phatlalalitsoeng inthaneteng ka kotopo e ka morao |
| Lisebelisoa tse molaong li sebelisoa hampe | uv, JupyterLab, e nang le maru, e nang le piggy |
Leraba: lebitso leo u seng u ntse u le tšepa
uv ke e 'ngoe ea lisebelisoa tsa Python tse kentsoeng ka ho fetisisa lilemong tse peli tse fetileng, kahoo "mothusi bakeng sa uv"ke sephutheloana seo moqapi a se kenyang ntle le ho nahana habeli. FauxUV e sebelisa botumo ba eona ka botlalo lebitsong leo. Liphutheloana li phuthela e le kannete uv mohlodi ho tsoa ho Astral — li-URL tse sebakeng sa ho jara mojaro ho beng ba 'nete, ba nang le botumo bo botle — kahoo ho sheba kapele ha ho bone letho haese litšupiso tse tšepahalang. Ha ho le e 'ngoe ea liphutheloana e eketsang. uv tshebetso; lebitso ke sephiri sohle.
JupyterLab e le enjene ea RCE
Karolo e ka sehloohong ea mojaro ke sesebelisoa sa ho qala JupyterLab ka ho tlosoa ha serethe se seng le se seng sa tšireletso:
jupyter server --with jupyterlab --ip=0.0.0.0 # listen on every interface --ServerApp.token="" # no password, no token --allow_origin='*' # accept cross-origin connections --disable_check_xsrf # allow a remote browser/WebSocket to drive itFolakha e 'ngoe le e 'ngoe e tlosa tšireletso, 'me sengoloa se rometsoeng se bile sea li hlalosa (ka Sechaena sa pele): letšoao le se nang letho "e tima li-password le li-token checks — mang kapa mang a ka hokela." jupyter lab ke IDE ea saense ea data e molaong, empa ha seebook sele e phethahatsa khoutu e sa reroang ka moralo. E hlophisitsoe ka tsela ena mme e tlameletsoe ho 0.0.0.0, e khaotsa ho ba IDE mme e fetoha khetla e hole e sa netefatsoang ho moamoheli — ha ho hlokahale binary ea malware e ikhethileng, ke sesebelisoa se seholo feela se supang tsela e fosahetseng.
Likarolo tse peli tse tšehetsang li etsa hore seo se fihlellehe le ho phetoa:
- Sesosa sa ho kenya se sa bueng. Mefuta ea pele e sebelisa PowerShell ka -Tsela ea ho Fetola Leano la Ts'ebetso ho tloha setup.py on pip kenya, ka morao ka liphoso tse hatelitsoeng kahoo pip e shebahala e tloaelehile. Liphetolelo tsa morao li fetisetsa mofuta o tšoanang oa khale ho pip-uv sesebelisoa sa mola wa taelo — mme o tlohele nako ya ho kenya e sebetse ka bohona ka botlalo.
- Kotopo ea sechaba e ka morao. Seva e ho 0.0.0.0 e ntse e ka fihlelleha feela ke baamoheli ba ka fetisetsang mochining. Mojule o kopaneng o bula [Pinggy](https://pinggy.io/) Kotopo e kgutlisang morao ya SSH e fetisetsang koung ya Jupyter ya lehae atereseng ya setjhaba, e tlosa moedi oo. Sengolwa se rometsweng se boetse se na le — se fane ka maikutlo — tsela e nngwe e sebedisang Cloudflare's maru a tukang 'me e neth port-proxy ho Linode IP, e ngolang sepheo se le seng ka meralo ya motheo e fapaneng.
Ha o kopanya: kenya sephutheloana, moamoheli oa Windows o qetella a tsamaisa JupyterLab e se nang phasewete mme a e phatlalatsa inthaneteng e bulehileng.
Kamoo FauxUV e ileng ea fetoha kateng
Mefuta ea FauxUV e rometsoe ka tatellano e potlakileng, 'me ntlha ea ho qala ea ho kenya e ile ea feta holim'a tsona - khopotso ea hore mofuta o le mong o tšoailoeng ha o bolele pale eohle ea mola oa sephutheloana.
Haholo-holo, nako ea ho kenya e ile ea sebetsa ka bohona e tlosoa liphetolelong tsa morao-rao, tse nang le bokhoni bo eketsehileng — kahoo sekene se ne se kentsoe feela potolohong ea bophelo hooks e tla fumana lintlha tsa tokollo e ncha e le Nyane kotsi, e kgutlela morao hantle.
Matšoao a ho sekisetsa
E netefalitsoe ka ho bala mohloli oa sephutheloana; lintlha tsa qetello li tšoailoe O ile a fana ka maikutlo li teng lifaeleng empa ha lia etsoa ke mofuta o hlahlobiloeng. Matšoao a marang-rang a fetotsoe.
Matšoao a boitšoaro a bohlokoa ho hlokomelisoa, ho sa tsotelehe likhoele tsena tse nepahetseng: a pip kenya seo se hlahisa powershell -ExecutionPolicy Bypassefe kapa efe jupyter ho kopanya ha ho qalisoa letšoao =”” le –ip=0.0.0.0le SSH e tswang ho ya ho *.pinggy.io ho tsoa ho moqapi kapa mochini oa CI.
Boitšoaro le tšimoloho e shebiloeng
Liphutheloana tsena tse peli li arolelana mongoli le mokhoa: lebitso la sesebelisoa se tšepahalang, ho koala ha Windows feela, ho kenya tšebetsong ha bokamorao bo hatelletsoeng ke liphoso, le ho itšetleha ka lisebelisoa tse hlomphehang kahoo ha u sheba ka potlako u bona feela li-URL tse hlomphehang. Mohloli o na le litlhaloso tsa puo ea Sechaena tse hlalosang lifolakha tse amanang le ts'ireletso ka ho hlaka; re tlaleha tseo e le lipolelo tse bonoang faeleng, eseng e le tseko mabapi le sepheo. lumella_origin boleng le colab.bat filename e pheta-pheta mesebetsi e sa reroang ea "share my local runtime" e potolohang bakeng sa Google Colab. Ho sa tsotelehe hore na tšimoloho ke efe, sephetho se phuthetsoeng sea tšoana.
Tšusumetso le tataiso bakeng sa batšireli
Ke mang ea pepesehetseng FauxUV. Bahlahisi ba Windows le ba tsamaisang CI bao pip kenya e 'ngoe ea liphutheloana tsena. JupyterLab e se nang phasewete ho 0.0.0.0 ke ho kenngwa tshebetsong ha khoutu hole bakeng sa mang kapa mang ya ka fihlang koung; kotopo e tlosa moedi wa "ke mang ya ka e fihlelang". Seva e sebetsa jwalo ka mosebedisi ya kenyang, e rua difaele tsa mosebedisi eo, di-tokens, le mangolo a leru.
Hobaneng ho le bonolo ho e fosa. Khoele e 'ngoe le e 'ngoe ea marang-rang e supa moamoheli ea nang le botumo bo botle - Astral, JupyterLab, maru a tukang, Pingggy, Colab. Ha ho na malware binary ho hash le hash blob e sa hlakang eo o ka e hlalosang. Ho skena ho thehiloeng botumong le ho saena ho etsa hore sena se be boima haholo, ke ka lebaka leo potso ea boitšoaro — Ho kenya sephutheloana sena ho etsa hore mochini o etse eng? — ke yona e e tshwarang.
Tataiso:
- Tšoara nako efe kapa efe ea ho kenya powershell -ExecutionPolicy Bypass e le lets'oao le robang moaho, ho sa tsotelehe hore na le fumana URL efe.
- Temoso e butsoe jupyter e qalisoa ka letshwao le se nang letho mme –ip=0.0.0.0; motswako oo ha oa lokela ho hlaha setsing sa mosebetsi kapa semathi.
- Lekola bafani ba SSH ba tsoang ho ea ho lithanele (*.pinggy.io, *.trycloudflare.com) ho tsoa tikolohong ea moqapi le ea CI.
- kenya uv ho tsoa [mohloling oa eona oa semmuso](https://docs.astral.sh/uv/) 'me u belaelle liphutheloana tsa "mothusi" oa motho oa boraro tse phuthelang sesebelisoa seo e seng e le sa bohlokoa ho se kenya.
- Pin le ho hlahloba botjha ditšehetso tsa ntlafatso — mola wa sephutheloana o ka hodisa bokgoni bo botjha ba mofuta o fetang mofuta.
