Udviklerne af Python-pakke-repositoriet PyPI (Python Package Index) har informeret om en sikkerhedsproblematik i implementeringen af funktionen "Organisationsteam", der gør det muligt at sammensætte et team af flere udviklere, der arbejder sammen om et projekt i PyPI. Problemet består i, at de privilegier, der er givet en bruger som medlem af "Organisationsteamet", blev bevaret efter at brugeren var fjernet fra organisationen. Sårbarheden i PyPI blev rettet to timer efter anmeldelsen af problemet. Den gennemførte audit afslørede ikke uautoriserede handlinger relateret til brugen af ikke tilbagekaldte adgangsrettigheder.
Udviklerne af repositories crates.io, som distribuerer Rust-pakker, har også rapporteret om en sikkerhedsrelateret hændelse. I infrastrukturen for crates.io, når der opstår fejl på backend-siden, bliver oplysninger om de anmodninger, der behandles på tidspunktet for problemet, sendt til overvågningsservicen Sentry. Problemet relaterer sig til, at et felt med indholdet af Cookie "cargo_session" blev sendt, hvori der var en sessionstast, der identificerer brugeren. En uautoriseret person, der får fat i denne nøgle, kunne udføre alle handlinger i en aktiv session for brugeren.
Det bemærkes, at adgangen til server overvågning i Sentry kun var tilgængelig for enkelte medlemmer af de teams, der vedligeholder infrastrukturen for projektet og repository crates.io, som allerede har privilegeret adgang til de aktive servere i crates.io. Der er ikke fundet beviser for, at de sessionstaster, der er opbevaret i loggene, er blevet brugt af nogen. Efter at problemet blev løst, blev sådanne Cookier fjernet fra alle hændelsesoptegnelser i Sentry, og de tilknyttede aktive brugersessioner blev afsluttet.
Kilde: opennet.ru
