A Python Software Foundation nyilvánosságra hozta a kritikusan fontos sérülékenységet a kiadások kezelésére szolgáló API-ban, amelyet a Python projekt infrastruktúrájára történő támadásra lehetett volna használni. A sérülékenység lehetővé tette a hitelesítési rendszer megkerülését, és az API-hoz adminisztrátori jogokkal való csatlakozást, ha a kérésben bármilyen kulcsot küldtek és az egyik adminisztrátort a felhasználónév mezőbe írták.
A sérülékenység sikeres kihasználása során szerzett jogok lehetővé tették a támadó számára, hogy módosításokat végezzen a Python kiadások hivatkozásaiban és a letöltött fájlok helyességét ellenőrző metadatákban, amelyek a python.org/downloads oldalon találhatóak. Ugyanakkor a sérülékenység nem tette lehetővé a meglévő kiadási fájlok tartalmának megváltoztatását.
Az adatbázis és a naplók auditja nem tárt fel nyomokat a sérülékenység kihasználására. Azt is feltételezik, hogy a kiadási hivatkozások módosítása nem maradhatott észrevétlen, mivel sok szolgáltató a letöltés során további kriptográfiai kód-ellenőrző rendszert, a Sigstore-t és PGP kulcsok használatát alkalmazza.
A sérülékenység 2014 óta jelen volt a kódban, és az API számára a vendég belépésekhez és kulcsalapú hitelesítéshez tartozó kezelők egyesítése okozta. Ha a kulcs alapján történő API befogadás sikertelen volt, a kódban visszaállás történt a vendéghozzáférés használatára.
A sérülékenységet február 23-án fedezték fel, és másnap orvosolták, ezt követően pedig több integritásellenőrzést végeztek az infrastruktúrán: február 25-én elemezték a naplókat és az adatbázis mentéseit, minden letölthető erőforrást ellenőriztek a Sigstore naplóból és PGP kulcsokkal, a használt szolgáltatások kódalapját házon belül auditálták. Április 23-án a kódalapot további AI-eszközökkel ellenőrizték, június 1-jén pedig a python.org infrastruktúrája és a Python kiadási folyamatainak külső auditálásához a Trail of Bits céget vonták be.
Forrás: opennet.ru
