{"id":182333,"date":"2026-06-27T20:48:06","date_gmt":"2026-06-27T18:48:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org"},"modified":"2026-06-27T20:48:06","modified_gmt":"2026-06-27T18:48:06","slug":"bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","title":{"rendered":"Eine L\u00fccke in der Infrastruktur von Python, die es erm\u00f6glichte, Links zu Releases auf der Website python.org zu manipulieren","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Python Software Foundation hat Informationen \u00fcber eine kritische Schwachstelle in der API zur Verwaltung von Releases ver\u00f6ffentlicht, die f\u00fcr einen Angriff auf die Infrastruktur des Python-Projekts ausgenutzt werden konnte. Diese Schwachstelle erm\u00f6glichte es, das Authentifizierungssystem zu umgehen und sich \u00fcber das Senden einer Anfrage mit einem beliebigen Schl\u00fcssel und der Angabe eines der Administratoren im Benutzernamenfeld mit Administratorrechten mit der Release-Management-API zu verbinden. <\/p>\n
Die bei erfolgreicher Ausnutzung der Schwachstelle erhaltenen Rechte h\u00e4tten dem Angreifer die M\u00f6glichkeit gegeben, \u00c4nderungen an Links zu Python-Releases und an den Metadaten zur \u00dcberpr\u00fcfung der Integrit\u00e4t der heruntergeladenen Dateien vorzunehmen, die auf der Seite python.org\/downloads gehostet sind. Die Schwachstelle selbst erlaubte jedoch keine \u00c4nderungen am Inhalt vorhandener Release-Dateien. <\/p>\n
Die \u00dcberpr\u00fcfung der Datenbank und der Protokolle hat keinerlei Spuren einer Ausnutzung der Schwachstelle ergeben. Zudem wird angenommen, dass die Manipulation von Links zu den Releases nicht unbemerkt bleiben konnte, da viele Anbieter beim Upload zus\u00e4tzlich ein System zur kryptografischen Codeverifizierung wie Sigstore und eine Pr\u00fcfung mit PGP-Schl\u00fcsseln verwenden.<\/p>\n
Die Schwachstelle war seit 2014 im Code vorhanden und entstand durch die Vermischung von Handlern f\u00fcr Gastzug\u00e4nge und API-Authentifizierungsschl\u00fcsseln. Bei einem Fehlschlag der Authentifizierung mit dem API-Zugangs Schl\u00fcssel fiel der Code auf die Verwendung des Gastzugangs zur\u00fcck. <\/p>\n
Die Schwachstelle wurde am 23. Februar identifiziert und am folgenden Tag behoben. Danach fanden mehrere Integrit\u00e4tspr\u00fcfungen der Infrastruktur statt: Am 25. Februar wurden die Protokolle und Datenbanksicherungen analysiert, alle verf\u00fcgbaren Ressourcen wurden mit digitalen Zertifikaten aus dem Sigstore-Protokoll und PGP-Schl\u00fcsseln \u00fcberpr\u00fcft. Dar\u00fcber hinaus wurde ein Audit des Codebestands der verwendeten Dienste intern durchgef\u00fchrt. Am 23. April wurde der Codebestand zus\u00e4tzlich mithilfe von KI-Tools \u00fcberpr\u00fcft, und am 1. Juni wurde das Unternehmen Trail of Bits f\u00fcr ein externes Audit der Infrastruktur von python.org sowie der Python Release-Prozesse hinzugezogen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"