Использование дополнительных модулей и библиотек значительно повышает эффективность разработки программ на Python. Однако большинство из библиотек являются проектами с открытым исходным кодом, которые зачастую разрабатываются энтузиастами и могут содержать потенциальные уязвимости или вредоносный код. В связи с этим возникает необходимость разработки эффективных программных средств для проверки импортируемых библиотек на предмет наличия в них известных дефектов и уязвимостей, которые описаны в различных открытых каталогах. Методы статического анализа программного кода могут быть эффективно использованы для детектирования различных уязвимостей и повышения качества программ на языке Python. Анализ количества публикаций по данной тематике показывает существенный интерес авторов к проблемам разработки безопасного программного обеспечения. В статье рассматривается проблема обнаружения уязвимостей в сторонних библиотеках Python, используемых в проектах с открытым исходным кодом. Представлено описание общей схемы разработки, а также реализация детектора уязвимостей, который обеспечивает обнаружение потенциальных проблем на основании данных открытых каталогов уязвимостей и повышает безопасность приложений на Python. Кроме того, в работе представлен анализ уязвимостей наиболее популярных библиотек c открытым исходным кодом на Python.
The use of additional modules and libraries significantly increases the efficiency of developing programs in Python. However, most of the libraries are open source projects that are often developed by enthusiasts and may contain potential vulnerabilities or malicious code. In this regard, there is a need to develop effective software tools for checking imported libraries for the presence of known defects and vulnerabilities, which are described in various open catalogs. Static code analysis methods can be effectively used for detecting various vulnerabilities and improving the quality of Python programs. An analysis of the number of publications on this topic shows the authors’ significant interest in the problems of developing secure software. This article addresses the problem of vulnerability detection in third-party Python libraries used in open-source projects. It provides an overview of the general development scheme and the implementation of a vulnerability detector that identifies potential issues based on data from open vulnerability repositories, thus enhancing the security of Python applications. Additionally, the paper presents an analysis of vulnerabilities in the most popular open-source Python libraries.
1. TIOBE Index for March 2022 [Электронный ресурс] URL: https://www.tiobe.com/tiobe-index/ (дата обращения: 08.11.2023).
2. Decan A., Mens T., Constantinou E. On the Impact of Security Vulnerabilities in the npm Package Dependency Network // Proceedings of the 15th International Conference on Mining Software Repositories (MSR 2018). Gothenburg: ACM. 2018. P. 181–191.
3. Ruohonen, J., Hjerppe, K., Rindell, K. A Large-Scale Security-Oriented Static Analysis of Python Packages in PyPI // Proceedings of the 18th Annual International Conference on Privacy, Security and Trust (PST 2021), Auckland, IEEE, 2021. P. 1-10.
4. OWASP Web Security Testing Guide. [Электронный ресурс]. URL: https://github.com/OWASP/wstg (дата обращения: 08.11.2023).
5. Cousot P. Abstract interpretation: a unified lattice model for static analysis of programs by construction or approximation of fixpoints // Proceedings of the 4th ACM SIGACT-SIGPLAN symposium on Principles of programming languages. 1977. P. 238–252.
6. Allen F.E. Control flow analysis // ACM SIGPLAN Notices. 1970. Vol. 5, Is. 7. P. 1–19.
7. Аветисян А.И., Белеванцев А.А., Бородин А.Е., Несов В. Использование статического анализа для поиска уязвимостей и критических ошибок в исходном коде программ // Труды ИСП РАН. 2011. Т. 21. C. 23-38.
8. Smith J., Johnson B., Murphy-Hill E.R., Chu B., Lipford H.R. How Developers Diagnose Potential Security Vulnerabilities with a Static Analysis Tool // IEEE Transactions on Software Engineering. 2019. Vol. 45(9). P. 877–897.
9. Common Weakness Enumeration. [Электронный ресурс]. URL: https://cwe.mitre.org/about/index.html (дата обращения: 08.11.2023).
10. Банк данных угроз безопасности информации [Электронный ресурс]. URL: http://www.bdu.fstec.ru/ (дата обращения: 08.11.2023).
11. CVE. [Электронный ресурс]. URL: https://cve.mitre.org/ (дата обращения: 08.11.2023).
12. Мерзлякова Е.Ю., Янченко Е.В. Обзор методов верификации и оценки качества программного обеспечения // Вестник СибГУТИ. 2023. Т. 17, № 1. С. 92–106.
13. Shalaginov A., Banin S., Dehghantanha A., Franke K. Machine Learning Aided Static Malware Analysis: A Survey and Tutorial. ArXiv, abs/1808.01201. 2018.
14. Vadlamani A., Kalicheti R., Chimalakonda S. APIScanner – Towards Automated Detection of Deprecated APIs in Python Libraries // 2021 IEEE/ACM 43rd International Conference on Software Engineering: Companion Proceedings (ICSE-Companion). 2021. P. 5-8.
15. Wang J., Li L., Liu K., Cai H. Exploring how deprecated python library apis are (not) handled // Proceedings of the 28th ACM Joint Meeting on European Software Engineering Conference and Symposium on the Foundations of Software Engineering. 2020. P. 233–244.