PyPI管理员/PSF基础设施总监偷懒：将Github Token写入文件中导致泄露
原文中文，约1200字，阅读约需3分钟。
📝
内容提要
Python软件基金会基础设施总监疏忽将Github令牌上传到Docker映像中，可能导致供应链攻击。泄露的令牌被网络安全公司发现，尚未被黑客利用。
🔎
延伸解读
令牌权限与潜在影响
泄露的GitHub令牌可授予对Python、PyPI及PSF存储库的更高访问权限。若被恶意利用，攻击者可能修改软件包添加恶意代码，甚至将恶意代码注入Python本体，从而引发严重的供应链攻击。鉴于Python的广泛使用，这种风险影响范围极大。
泄露原因与操作疏忽
Ee Durbin解释，在本地开发时遇到GitHub API速率限制，为图方便将个人令牌写入本地文件，而非配置本地GitHub App。这些更改本不打算推送，但.pyc编译文件未被清理，且构建时未排除，最终随Docker映像发布到公共仓库。
发现与响应
JFrog研究人员在Docker Hub的公共Docker中发现令牌，位于build.cpython-311.pyc文件中。2024年6月28日通报后，Ee Durbin确认令牌归属，但生成时间无法确定。目前检查未发现恶意利用，JFrog是首个发现者，事件未造成严重后果。
❓
Q&A
Ee Durbin是如何导致Github令牌泄露的？
Ee Durbin因懒惰将Github令牌写入本地文件并上传到Docker映像中，导致令牌泄露。
泄露的Github令牌可能造成什么后果？
泄露的Github令牌可以修改Python本体、PyPl软件包及PSF存储库，可能导致严重的供应链攻击。
是谁发现了泄露的Github令牌？
网络安全公司JFrog的研究人员发现了泄露的Github令牌。
Ee Durbin对此事件有何反应？
Ee Durbin对此事件表示道歉，并解释了因懒惰导致的错误。
泄露的Github令牌生成于何时？
该令牌生成时间在2023年3月3日之前，但具体时间无法确定。
目前是否有证据表明该令牌被恶意利用？
目前未发现该令牌被恶意利用的情况。
🏷️
