Une faille dans l'infrastructure de Python, permettant de remplacer les liens vers les versions sur le site python.org

La Python Software Foundation a révélé une vulnérabilité critique dans l'API de gestion des versions, qui pouvait être exploitée pour attaquer l'infrastructure du projet Python. Cette vulnérabilité permettait de contourner le système d'authentification et de se connecter à l'API de gestion des versions avec des droits d'administrateur en envoyant une requête avec n'importe quelle clé et en spécifiant l'un des administrateurs dans le champ du nom d'utilisateur.

Les droits obtenus par l’exploitation réussie de la vulnérabilité permettaient à l'attaquant d'apporter des modifications aux liens des versions Python et aux métadonnées pour vérifier l'intégrité des fichiers téléchargés, présents sur la page python.org/downloads. Toutefois, la vulnérabilité ne permettait pas de modifier le contenu des fichiers de versions existants.

L'audit de la base de données et des journaux n'a révélé aucune trace d'exploitation de la vulnérabilité. Il est également supposé que le remplacement des liens de versions n'aurait pas pu passer inaperçu, car de nombreux fournisseurs utilisent un système de vérification cryptographique du code Sigstore et vérifient à l'aide de clés PGP lors du téléchargement.

La vulnérabilité était présente dans le code depuis 2014 et était causée par le mélange, dans un même code, de gestionnaires pour les accès invités et d'authentification par clé pour l'API. En cas d'échec de l'authentification par clé d'accès à l'API, le code revenait à l'utilisation de l'accès invité.

La vulnérabilité a été identifiée le 23 février et corrigée le lendemain, après quoi plusieurs vérifications d'intégrité de l'infrastructure ont été réalisées : le 25 février, les journaux et les sauvegardes de la base de données ont été analysés, toutes les ressources disponibles pour téléchargement ont été vérifiées à l'aide de signatures numériques provenant du journal Sigstore et de clés PGP, un audit de la base de code des services utilisés a été réalisé en interne. Le 23 avril, la base de code a été vérifiée de manière supplémentaire à l'aide d'outils d'IA, et le 1er juin, la société Trail of Bits a été sollicitée pour un audit externe de l'infrastructure python.org et des processus de génération des versions Python.

Source : opennet.ru