Organizace Python Software Foundation zveřejnila informace o kritické zranitelnosti v API pro správu vydání, kterou bylo možné využít k útoku na infrastrukturu projektu Python. Zranitelnost umožňovala obejít autentizační systém a připojit se k API správy vydání s právy správce prostřednictvím odeslání požadavku s libovolným klíčem a uvedením jednoho ze správců v poli s uživatelským jménem.
Práva získaná v případě úspěšného využití zranitelnosti dávala útočníkovi možnost provádět změny v odkazech na vydání Pythonu a metadatech pro ověření správnosti nahrávaných souborů umístěných na stránce python.org/downloads. Při tom zranitelnost neumožňovala měnit obsah existujících souborů s vydáními.
Audit databáze a logů neodhalil stopy po exploataci zranitelnosti. Také se předpokládá, že nahrazení odkazů na vydání nemohlo zůstat bez povšimnutí, protože mnozí poskytovatelé při nahrávání navíc používají systém kryptografické verifikace kódu Sigstore a ověřování pomocí PGP klíčů.
Zranitelnost byla přítomna v kódu od roku 2014 a byla způsobena smícháním v jednom kódu zpracovatelů pro hostitelské přístupy a autentizaci pomocí klíčů pro API. V případě selhání autentizace pomocí klíče pro přístup k API byl v kódu proveden návrat k použití hostitelského přístupu.
Zranitelnost byla odhalena 23. února a odstraněna následující den, poté bylo provedeno několik kontrol integrity infrastruktury: 25. února byly analyzovány logy a záložní kopie databází, všechny dostupné k nahrání zdroje byly zkontrolovány pomocí digitálních podpisů z logu Sigstore a PGP klíčů, vlastními silami byl proveden audit kódové základny používaných služeb. 23. dubna byla kódová základna navíc zkontrolována pomocí AI nástrojů a 1. června byla pro externí audit infrastruktury python.org a procesy tvorby vydání Pythonu přizvána společnost Trail of Bits.
Zdroj: opennet.ru
