Το Python Software Foundation αποκάλυψε μια κρίσιμη ευπάθεια στο API διαχείρισης εκδόσεων που θα μπορούσε να αξιοποιηθεί για την επίθεση στην υποδομή του έργου Python. Η ευπάθεια επέτρεπε σε έναν εισβολέα να παρακάμψει τον έλεγχο ταυτότητας και να συνδεθεί στο API διαχείρισης εκδόσεων με δικαιώματα διαχειριστή, στέλνοντας ένα αίτημα με οποιοδήποτε κλειδί και καθορίζοντας έναν από τους διαχειριστές στο πεδίο ονόματος χρήστη.
Τα προνόμια που παραχωρήθηκαν με την επιτυχή αξιοποίηση της ευπάθειας επέτρεψαν σε έναν εισβολέα να τροποποιήσει συνδέσμους και μεταδεδομένα έκδοσης Python για την επαλήθευση των ληφθέντων αρχείων, τα οποία φιλοξενούνταν στο python.org/downloads. Ωστόσο, η ευπάθεια εμπόδισε τον εισβολέα να τροποποιήσει το περιεχόμενο των υπαρχόντων αρχείων έκδοσης.
Ένας έλεγχος της βάσης δεδομένων και των αρχείων καταγραφής δεν αποκάλυψε στοιχεία εκμετάλλευσης ευπάθειας. Πιστεύεται επίσης ότι η πλαστογράφηση των συνδέσμων έκδοσης δεν θα μπορούσε να περάσει απαρατήρητη, καθώς πολλοί προμηθευτές χρησιμοποιούν επιπλέον το σύστημα επαλήθευσης κρυπτογραφικού κώδικα Sigstore και την επαλήθευση κλειδιού PGP κατά τη λήψη.
Η ευπάθεια υπήρχε στον κώδικα από το 2014 και προκλήθηκε από την ανάμειξη χειριστών για συνδέσεις επισκεπτών και έλεγχο ταυτότητας κλειδιού API στον ίδιο κώδικα. Εάν ο έλεγχος ταυτότητας κλειδιού API αποτύγχανε, ο κώδικας θα επέστρεφε στη χρήση της πρόσβασης επισκέπτη.
Η ευπάθεια εντοπίστηκε στις 23 Φεβρουαρίου και διορθώθηκε την επόμενη ημέρα, μετά την οποία διεξήχθησαν αρκετοί έλεγχοι ακεραιότητας υποδομής: στις 25 Φεβρουαρίου, αναλύθηκαν τα αρχεία καταγραφής και τα αντίγραφα ασφαλείας των βάσεων δεδομένων, επαληθεύτηκαν όλοι οι πόροι που μπορούν να ληφθούν χρησιμοποιώντας ψηφιακές υπογραφές από το αρχείο καταγραφής Sigstore και τα κλειδιά PGP και διεξήχθη εσωτερικός έλεγχος της βάσης κώδικα των υπηρεσιών που χρησιμοποιήθηκαν. Στις 23 Απριλίου, η βάση κώδικα ελέγχθηκε περαιτέρω χρησιμοποιώντας εργαλεία τεχνητής νοημοσύνης και την 1η Ιουνίου, η Trail of Bits ανέλαβε εξωτερικό έλεγχο της υποδομής python.org και των διαδικασιών έκδοσης Python.
Πηγή: opennet.ru
