Python Software Foundation teatas kriitilisest turvaveast API-s, mille kaudu saab haldada versioone, mida oleks saanud kasutada rünnakuks Python projekti infrastruktuurile. See haavatavus võimaldas mööda minna autentimissüsteemist ja pääseda API-le, mille kaudu haldate versioone, administraatori õigustega, saates päringu mis tahes võtmega ja määrates ühe administraatori kasutajanime väljal.
Eduka haavatavuse ärakasutamise korral saadud õigused andsid ründajale võimaluse muuta Python'i versioonide linke ja metaandmeid, mis tagavad allalaaditud failide õigsuse, mis olid avaldatud lehel python.org/downloads. Samas ei lubanud haavatavus muuta juba olemasolevate versioonifailide sisu.
Andmebaasi ja logide audit ei tuvastanud mingeid jälgi haavatavuse ärakasutamisest. Samuti arvatakse, et versioonide linkide varguse ei saanud jääda märkamatuks, kuna paljud teenusepakkujad kasutavad allalaadimise ajal täiendavalt krüptograafilist koodi verifikatsioonisüsteemi Sigstore ja PGP-võtmete kontrollimist.
Turvalisus oli olemas koodis alates 2014. aastast ning see oli tingitud külalisautorite ja API võtme autentimiseks mõeldud töötlejate segamisest ühes ja samas koodis. Kui autentimisel esines tõrge API pääsuvõtme puhul, siis kood lülitati tagasi külalisjuurdepääsule.
Turvalisus tuvastati 23. veebruaril ja kõrvaldatakse järgmisel päeval, pärast mida viidi läbi mitu infrastruktuuri terviklikkuse kontrolli: 25. veebruaril analüüsiti logisid ja andmebaasi varukoopiaid, kõik allalaadimiseks saadaval olevad ressursid kontrolliti digitaalallkirjade abil Sigstore logi ja PGP-võtmete abil, enda jõududega viidi läbi kasutatavate teenuste koodibaasi audit. 23. aprillil kontrolliti koodibaasi täiendavalt AI-tööriistade abil ning 1. juunil kaasati välise auditi tegemiseks python.org infrastruktuurile ja Python'i versioonide loomise protsessidele ettevõte Trail of Bits.
Allikas: opennet.ru
