{"id":182333,"date":"2026-06-27T20:48:06","date_gmt":"2026-06-27T18:48:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org"},"modified":"2026-06-27T20:48:06","modified_gmt":"2026-06-27T18:48:06","slug":"bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","title":{"rendered":"Sikkerhedshul i Python-infrastrukturen, der gjorde det muligt at \u00e6ndre links til udgivelser p\u00e5 python.org","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Python Software Foundation har offentliggjort information om en kritisk s\u00e5rbarhed i API'et til release-styring, som kunne udnyttes til at angreb p\u00e5 Python-projektets infrastruktur. S\u00e5rbarheden gjorde det muligt at omg\u00e5 autentificeringssystemet og tilslutte sig release-styrings-API'et med administratorrettigheder ved at sende en foresp\u00f8rgsel med en hvilken som helst n\u00f8gle og ved at angive en af administratorerne i brugernavnfeltet. <\/p>\n
De rettigheder, der kunne opn\u00e5s ved succesfuld udnyttelse af s\u00e5rbarheden, gav angriberen mulighed for at \u00e6ndre links til Python-releases og metadata til kontrol af korrektheden af filer, der blev downloadet fra siden python.org\/downloads. Dog gjorde s\u00e5rbarheden det ikke muligt at \u00e6ndre indholdet af de eksisterende release-filer. <\/p>\n
Revisionen af databasen og loggene afsl\u00f8rede ingen spor af udnyttelse af s\u00e5rbarheden. Det antages ogs\u00e5, at \u00e6ndringer af links til releases ikke kunne forblive ubem\u00e6rket, da mange udbydere ved download yderligere anvender et system til kryptografisk verifikation af kode, Sigstore, og kontrol med brug af PGP-n\u00f8gler.<\/p>\n
S\u00e5rbarheden har v\u00e6ret til stede i koden siden 2014 og blev for\u00e5rsaget af sammenblanding af en kodesytem for g\u00e6steinlogninger og n\u00f8gleautentificering til API'et. I tilf\u00e6lde af fejlagtig n\u00f8gleautentificering til API'et, blev koden sat tilbage til brug af g\u00e6steadgang. <\/p>\n
S\u00e5rbarheden blev opdaget den 23. februar og blev rettet den f\u00f8lgende dag, hvorefter der blev gennemf\u00f8rt flere integritetskontroller af infrastrukturen: den 25. februar blev loggene og databasereserveringer analyseret, alle tilg\u00e6ngelige ressourcer til download blev verificeret ved hj\u00e6lp af digitale signaturer fra Sigstore-loggen og PGP-n\u00f8gler, samt en intern revision af koden for de anvendte tjenester. Den 23. april blev kodebasen yderligere kontrolleret ved hj\u00e6lp af AI-v\u00e6rkt\u00f8jer, og den 1. juni blev Trail of Bits involveret til en ekstern revision af python.orgs infrastruktur og indsigtsprocessen for Python-releases. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"