{"id":182333,"date":"2026-06-27T20:48:06","date_gmt":"2026-06-27T18:48:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org"},"modified":"2026-06-27T20:48:06","modified_gmt":"2026-06-27T18:48:06","slug":"bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","title":{"rendered":"Eine Sicherheitsl\u00fccke in der Python-Infrastruktur, die den Austausch von Links zu Releases auf der Website python.org erm\u00f6glichte.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Python Software Foundation hat Informationen \u00fcber eine kritische Sicherheitsanf\u00e4lligkeit in der API zur Verwaltung von Releases ver\u00f6ffentlicht, die f\u00fcr Angriffe auf die Infrastruktur des Python-Projekts missbraucht werden konnte. Die Sicherheitsanf\u00e4lligkeit erm\u00f6glichte es, das Authentifizierungssystem zu umgehen und sich \u00fcber eine Anfrage mit jedem Schl\u00fcssel und der Angabe eines der Administratoren im Benutzernamenfeld mit Administratorrechten mit der API zur Verwaltung von Releases zu verbinden. <\/p>\n
Die durch die erfolgreiche Ausnutzung der Sicherheitsanf\u00e4lligkeit erlangten Berechtigungen erm\u00f6glichten es dem Angreifer, \u00c4nderungen an den Links zu den Python-Releases und an den Metadaten zur \u00dcberpr\u00fcfung der Korrektheit der hochgeladenen Dateien, die auf der Seite python.org\/downloads ver\u00f6ffentlicht sind, vorzunehmen. Dabei erlaubte die Sicherheitsanf\u00e4lligkeit jedoch nicht, den Inhalt der vorhandenen Release-Dateien zu ver\u00e4ndern. <\/p>\n
Eine Pr\u00fcfung der Datenbank und der Protokolle ergab keine Hinweise auf die Ausnutzung der Sicherheitsanf\u00e4lligkeit. Au\u00dferdem wird angenommen, dass die \u00c4nderung der Links zu den Releases nicht unbemerkt bleiben konnte, da viele Anbieter beim Hochladen zus\u00e4tzlich ein System zur kryptografischen Verifizierung des Codes (Sigstore) und eine \u00dcberpr\u00fcfung mit PGP-Schl\u00fcsseln verwenden.<\/p>\n
Die Sicherheitsanf\u00e4lligkeit war seit 2014 im Code vorhanden und wurde durch das Mischen von Handlern f\u00fcr Gastzug\u00e4nge und Authentifizierung mit Schl\u00fcsseln f\u00fcr die API verursacht. Im Falle eines Fehlers bei der Authentifizierung mit einem API-Zugangsschl\u00fcssel wurde im Code auf die Verwendung des Gastzugangs zur\u00fcckgegriffen. <\/p>\n
Die Sicherheitsanf\u00e4lligkeit wurde am 23. Februar entdeckt und am n\u00e4chsten Tag behoben, woraufhin mehrere Integrit\u00e4tspr\u00fcfungen der Infrastruktur durchgef\u00fchrt wurden: Am 25. Februar wurden die Protokolle und Datenbanksicherungen analysiert, alle zum Download verf\u00fcgbaren Ressourcen wurden mit digitalen Signaturen aus dem Sigstore-Protokoll und PGP-Schl\u00fcsseln \u00fcberpr\u00fcft, und ein internes Audit der Codebasis der verwendeten Dienste wurde durchgef\u00fchrt. Am 23. April wurde die Codebasis zus\u00e4tzlich mit Hilfe von KI-Tools \u00fcberpr\u00fcft, und am 1. Juni wurde die Firma Trail of Bits f\u00fcr ein externes Audit der Infrastruktur von python.org und der Prozesse zur Erstellung von Python-Releases hinzugezogen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"