Python infrastruktuuris avastatud turvahaavatavus, mis võimaldas vahetada linke väljaannetele python.org saidil

Python Software Foundation avaldas teavet kriitilise haavatavuse kohta API-s, mis haldab väljaandmisi, mille abil oli võimalik rünnata Python'i projekti infrastruktuuri. Haavatavus võimaldas ületada autentimissüsteemi ning ühenduda väljaannete haldamise API-ga administraatori õigustes, saates päringu koos mistahes võtmega ja määrates kasutajanime väljal ühe administraatoritest.

Haavatavuse edukal ärakasutamisel saadud õigused andsid ründajale võimaluse muuta linke Python'i väljaannetele ja metainformatsiooni allalaaditavate failide õigsuse kontrollimiseks, mis olid saadaval lehel python.org/downloads. Haavatavus ei lubanud aga muuta olemasolevate väljaannete failide sisu.

Andmebaasi ja logide audit ei tuvastanud haavatavuse ärakasutamise jälgi. Samuti on eeldatav, et väljaannete linkide muutmine ei jäänud tähelepanuta, kuna paljusid tarnijaid lisaks allalaadimisele kasutavad koodide krüptograafilise verifitseerimise süsteemi Sigstore ja PGP-võtmeid.

Haavatavus oli koodis alates 2014. aastast ja see oli põhjustatud külaliste sisselogimise ja API võtmeautentimise töötleja segamisest ühes koodis. Kui API võtmeautentimine ebaõnnestus, toimus koodis tagasipöördumine külalisettev võtmeautentimise kasutamisele.

Haavatavus tuvastati 23. veebruaril ja kõrvaldatakse järgmisel päeval, seejärel viidi läbi mitmeid infrastruktuuri terviklikkuse kontrollimisi: 25. veebruaril analüüsiti logisid ja andmebaaside varukoopiaid, kõik allalaadimiseks saadaval olevad ressursid kontrolliti Sigstore'i logidest ja PGP-võtmetest tulevate digitaalsete allkirjade abil, ning oma jõududega viidi läbi auditi koodibaasi kasutatavates teenustes. 23. aprillil kontrolliti koodibaasi täiendavalt AI-tööriistade abil ning 1. juunil kaasati välisaudiitorina ettevõte Trail of Bits python.org infrastruktuuri ja Python'i väljaannete protsesside auditeerimiseks.

Allikas: opennet.ru