Python Software Foundation təşkilatı, Python layihəsinin infrastrukturuna hücum etmək üçün istifadə oluna bilən buraxılış idarəetmə API-sində kritik zəifliyi aşkar etdi. Zəiflik, autentifikasiya sistemini aşmaq və istənilən açar ilə bir istifadəçi adı sahəsində admindən birini göstərərək buraxılış idarəetmə API-sinə giriş əldə etmək imkanını verdi.
Zəifliyin uğurla istismar edilməsi halında əldə olunan hüquqlar, hücumçunun python.org/downloads səhifəsində yerləşən Python buraxılışlarının linklərinə və yüklənən faylların düzgünlüyünü təsdiqləmək üçün metadata dəyişdirmək imkanı verirdi. Bu zəiflik, mövcud buraxılış fayllarının məzmununu dəyişdirmək imkanını təqdim etmirdi.
Veritabanı və log auditində zəifliyin istismar olunduğuna dair hər hansı bir iz aşkar edilmədi. Həmçinin, buraxılışların linklərinin dəyişdirilməsi, bir çox təchizatçıların yükləmə zamanı əlavə olaraq Sigstore kodunun kriptoqrafik təsdiq sistemini və PGP açarları ilə yoxlama istifadə etməsi səbəbindən heç bir zaman gizli qala bilməzdi.
Zəiflik 2014-cü ildən kodda mövcud idi və API üçün qonaq girişləri və açarlarla autentifikasiya edilməsi üçün bir kod birləşməsindən irəli gəlirdi. API-yə girişdə açarların autentifikasiyası uğursuz olduqda, kod qonaq girişinin istifadəsinə geri dönürdü.
Zəiflik 23 fevralda aşkar edildi və ertəsi gün aradan qaldırıldı, bundan sonra infrastrukturun bütövlüyünü təmin etmək üçün bir neçə yoxlama aparıldı: 25 fevralda loglar və verilənlərin ehtiyat nüsxələri analiz edildi, yüklənə bilən bütün resurslar Sigstore logundan və PGP açarlarından istifadə edərək rəqəmsal imzalarla yoxlandı, xidmətlərin istifadə olunan kod bazası ilə müstəqil audit aparıldı. 23 aprel tarixində kod bazası AI alətləri ilə əlavə olaraq yoxlandı, 1 iyun tarixində python.org infrastrukturunun və Python buraxılışlarının yaradılması prosesinin xarici auditi üçün Trail of Bits şirkəti cəlb edildi.
Mənbə: opennet.ru
