Organizacija Python Software Foundation objavila je informacije o kritičnoj ranjivosti u API-ju za upravljanje izdanjima koja se mogla iskoristiti za napad na infrastrukturu Python projekta. Ranjivost je omogućila zaobilaženje autentifikacijskog sistema i povezivanje s API-jem za upravljanje izdanjima s administratorskim pravima slanjem zahtjeva s bilo kojim ključem i navodeći jednog od administratora u polju s imenom korisnika.
Ovlaštenja stečena uspješnom eksploatacijom ranjivosti davala su napadaču mogućnost da unese izmjene u veze na Python izdanja i metapodatke za provjeru ispravnosti preuzetih datoteka, smještenih na stranici python.org/downloads. Pri tome ranjivost nije omogućila promjenu sadržaja postojećih datoteka s izdanjima.
Revizija baze podataka i logova nije otkrila tragove eksploatacije ranjivosti. Također se pretpostavlja da zamjena veza na izdanja nije mogla ostati neprimijećena, budući da mnogi pružatelji prilikom preuzimanja dodatno koriste sustav kriptografijske verifikacije koda Sigstore i provjeru koristeći PGP ključeve.
Ranjivost je bila prisutna u kodu od 2014. godine i bila je uzrokovana miješanjem u jednom kodu obrađivača za gostinske ulaze i autentifikaciju putem ključeva za API. U slučaju neuspjeha autentifikacije putem ključa za pristup API-ju, u kodu se izvršavao povratak na korištenje gostinskog pristupa.
Ranjivost je otkrivena 23. veljače i uklonjena sljedeći dan, nakon čega su provedene nekoliko provjera integriteta infrastrukture: 25. veljače analizirani su logovi i sigurnosne kopije baze podataka, svi resursi dostupni za preuzimanje su provjereni korištenjem digitalnih potpisa iz loga Sigstore i PGP ključeva, a vlastitim snagama izvršena je revizija kodne baze korištenih usluga. 23. travnja kodna baza dodatno je provjerena pomoću AI alata, a 1. lipnja za vanjsku reviziju infrastrukture python.org i procesa formiranja izdanja Python angažirana je tvrtka Trail of Bits.
Izvor: opennet.ru
