Python Software Foundation har offentliggjort information om en kritisk sårbarhed i API'et til release-styring, som kunne udnyttes til at angreb på Python-projektets infrastruktur. Sårbarheden gjorde det muligt at omgå autentificeringssystemet og tilslutte sig release-styrings-API'et med administratorrettigheder ved at sende en forespørgsel med en hvilken som helst nøgle og ved at angive en af administratorerne i brugernavnfeltet.
De rettigheder, der kunne opnås ved succesfuld udnyttelse af sårbarheden, gav angriberen mulighed for at ændre links til Python-releases og metadata til kontrol af korrektheden af filer, der blev downloadet fra siden python.org/downloads. Dog gjorde sårbarheden det ikke muligt at ændre indholdet af de eksisterende release-filer.
Revisionen af databasen og loggene afslørede ingen spor af udnyttelse af sårbarheden. Det antages også, at ændringer af links til releases ikke kunne forblive ubemærket, da mange udbydere ved download yderligere anvender et system til kryptografisk verifikation af kode, Sigstore, og kontrol med brug af PGP-nøgler.
Sårbarheden har været til stede i koden siden 2014 og blev forårsaget af sammenblanding af en kodesytem for gæsteinlogninger og nøgleautentificering til API'et. I tilfælde af fejlagtig nøgleautentificering til API'et, blev koden sat tilbage til brug af gæsteadgang.
Sårbarheden blev opdaget den 23. februar og blev rettet den følgende dag, hvorefter der blev gennemført flere integritetskontroller af infrastrukturen: den 25. februar blev loggene og databasereserveringer analyseret, alle tilgængelige ressourcer til download blev verificeret ved hjælp af digitale signaturer fra Sigstore-loggen og PGP-nøgler, samt en intern revision af koden for de anvendte tjenester. Den 23. april blev kodebasen yderligere kontrolleret ved hjælp af AI-værktøjer, og den 1. juni blev Trail of Bits involveret til en ekstern revision af python.orgs infrastruktur og indsigtsprocessen for Python-releases.
Kilde: opennet.ru
