{"id":182333,"date":"2026-06-27T20:48:06","date_gmt":"2026-06-27T18:48:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org"},"modified":"2026-06-27T20:48:06","modified_gmt":"2026-06-27T18:48:06","slug":"bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","title":{"rendered":"Vulnerabilit\u00e0 nell'infrastruttura di Python che consentiva di sostituire i link alle versioni sul sito python.org","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La Python Software Foundation ha rivelato una vulnerabilit\u00e0 critica nell'API per la gestione delle versioni, che poteva essere sfruttata per attaccare l'infrastruttura del progetto Python. La vulnerabilit\u00e0 consentiva di superare il sistema di autenticazione e di accedere all'API per la gestione delle versioni con diritti di amministratore inviando una richiesta con qualsiasi chiave e specificando uno degli amministratori nel campo del nome utente. <\/p>\n
I diritti ottenuti in caso di sfruttamento con successo della vulnerabilit\u00e0 davano all'attaccante la possibilit\u00e0 di modificare i link alle versioni di Python e i metadati per la verifica della correttezza dei file caricati, pubblicati sulla pagina python.org\/downloads. Tuttavia, la vulnerabilit\u00e0 non permetteva di modificare il contenuto dei file con le versioni esistenti. <\/p>\n
L'audit del database e dei log non ha rivelato segni di sfruttamento della vulnerabilit\u00e0. Si ritiene inoltre che la sostituzione dei link alle release non sia passata inosservata, dal momento che molti fornitori utilizzano un sistema di verifica crittografica del codice Sigstore e controlli con chiavi PGP durante il caricamento.<\/p>\n
La vulnerabilit\u00e0 era presente nel codice dal 2014 ed era causata dalla mescolanza in un unico codice dei gestori per accessi ospiti e autenticazione via chiave per API. In caso di fallimento dell'autenticazione tramite chiave d'accesso all'API, il codice eseguiva un rollback per utilizzare l'accesso ospite. <\/p>\n
La vulnerabilit\u00e0 \u00e8 stata identificata il 23 febbraio ed \u00e8 stata risolta il giorno successivo. Sono state effettuate diverse verifiche dell'integrit\u00e0 dell'infrastruttura: il 25 febbraio sono stati analizzati i log e i backup del database, tutte le risorse disponibili per il download sono state verificate utilizzando le firme digitali dai log di Sigstore e le chiavi PGP, e si \u00e8 svolta un'audit della base di codice dei servizi utilizzati. Il 23 aprile la base di codice \u00e8 stata ulteriormente esaminata con strumenti AI e il 1 giugno \u00e8 stata coinvolta l'azienda Trail of Bits per un audit esterno dell'infrastruttura di python.org e dei processi di rilascio di Python. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"