Vývojáři repozitáře Python balíčků PyPI (Python Package Index) oznámili zjištění bezpečnostního problému ve funkci „Organizační tým“, která umožňuje vytvořit tým několika vývojářů spolupracujících na projektu v PyPI. Podstata zjištěných problémů spočívá v tom, že privilegium delegované uživateli jako členovi „Organizačního týmu“ zůstávalo zachováno i po odstranění uživatele z organizace. Zranitelnost v PyPI byla odstraněna do dvou hodin od oznámení o problému. Provedený audit neodhalil žádné neoprávněné činnosti související s použitím neodvolaných oprávnění.
O souvisejícím bezpečnostním incidentu také informovali vývojáři repozitáře crates.io, prostřednictvím kterého se distribuují balíčky v jazyce Rust. V infrastruktuře crates.io se při chybě na straně backendu zasílaly informace o zpracovávaných požadavcích v momentě vzniku problému do monitorovací služby Sentry. Problém spočíval v tom, že mezi zasílanými daty bylo pole obsahující cookie „cargo_session“, v němž byl uložen relace klíč identifikující uživatele. Neoprávněná osoba, která tento klíč získala, mohla provádět jakékoliv akce v nedokončené relaci uživatele.
Bylo poznamenáno, že přístup k serveru monitorování Sentry měli pouze jednotliví členové týmů, kteří obsluhovali infrastrukturu projektu a repozitář crates.io, které již měly privilegovaný přístup k pracovním serverům crates.io. Důkazy o tom, že by uchované relace klíče byly použity někým, nebyly nalezeny. Po odstranění problému byly podobné cookies odstraněny ze všech záznamů událostí v Sentry a související aktivní relace uživatelů byly ukončeny.
Zdroj: opennet.ru
