A Python csomagok tárolójának, a PyPI-nak a fejlesztői védelmet valósítottak meg a projektek megszerzése ellen, amely a felszabadított domainek megvásárlásával történik, amelyeket a fiók beállításaiban megadtak. A támadás lényege, hogy a támadók keresik az lejárt domainekkel rendelkező email címekhez tartozó fiókokat, majd regisztrálják a felszabadított domaint, átirányítják a levelezési forgalmat a saját szerverükre, és a megszerzett email fölötti kontrollal elindítják az elfelejtett jelszó visszaállítási folyamatát. 2022-ben ezzel a módszerrel szerezték meg a kontrollt a ctx nevű Python csomag felett.
Az ilyen támadások elkerülésére a PyPI-ban napi ellenőrzést valósítottak meg a relevancia ellenőrzésére, domain nevekkel, amelyeket az email címekben használnak. A lejárt domainnel rendelkező email címek automatikusan megerősítetlen állapotba kerülnek. A megerősítetlen címeknél a PyPI nem engedélyezi a jelszó visszaállítási műveletet. Újraellenőrzést csak az a fiók tulajdonosa kezdeményezhet, aki ismeri a jelszót.
Június eleje óta a PyPI felhasználói bázisában több mint 1800 email cím található, melyek lejárt domainekkel kapcsolatosak. 2024. január 1-jétől a PyPI katalogus kötelező kéttényezős azonosításra vált, amelynek aktiválása nélkül a felhasználó nem tud projektkezelési műveleteket végezni. Mindazonáltal a régi felhasználók, akik a kötelező kéttényezős azonosítás bevezetése előtt lettek létrehozva, továbbra is lehetőséget kapnak a jelszó visszaállítására email megerősítés útján, amely nem igényel kéttényezős ellenőrzést.
Forrás: opennet.ru
