{"id":182333,"date":"2026-06-27T20:48:06","date_gmt":"2026-06-27T18:48:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org"},"modified":"2026-06-27T20:48:06","modified_gmt":"2026-06-27T18:48:06","slug":"bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","title":{"rendered":"Vulnerabilit\u00e0 nell'infrastruttura Python che permetteva di sostituire i link alle versioni sul sito python.org","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'organizzazione Python Software Foundation ha rivelato informazioni su una vulnerabilit\u00e0 critica nell'API per la gestione delle versioni, che poteva essere sfruttata per attaccare l'infrastruttura del progetto Python. La vulnerabilit\u00e0 consentiva di bypassare il sistema di autenticazione e di accedere all'API di gestione delle versioni con diritti di amministratore inviando una richiesta con qualsiasi chiave e specificando uno degli amministratori nel campo del nome utente. <\/p>\n
I diritti ottenuti in caso di sfruttamento riuscito della vulnerabilit\u00e0 consentivano all'attaccante di apportare modifiche ai link alle versioni di Python e ai metadati per verificare l'integrit\u00e0 dei file caricati, pubblicati sulla pagina python.org\/downloads. Tuttavia, la vulnerabilit\u00e0 non consentiva di modificare il contenuto dei file delle versioni esistenti. <\/p>\n
L'audit del database e dei log non ha rilevato segni di sfruttamento della vulnerabilit\u00e0. Si suppone inoltre che la sostituzione dei link alle versioni non potesse rimanere inosservata, poich\u00e9 molti fornitori utilizzano un sistema di verifica crittografica del codice Sigstore e controlli tramite chiavi PGP durante il caricamento.<\/p>\n
La vulnerabilit\u00e0 era presente nel codice dal 2014 ed era causata dalla miscelazione di gestori per accessi ospiti e autenticazione via chiave nell'API. In caso di fallimento dell'autenticazione tramite chiave per accedere all'API, il codice effettuava un rollback utilizzando l'accesso ospite. <\/p>\n
La vulnerabilit\u00e0 \u00e8 stata rilevata il 23 febbraio ed \u00e8 stata risolta il giorno successivo, dopo di che sono state eseguite diverse verifiche di integrit\u00e0 sull'infrastruttura: il 25 febbraio sono stati analizzati i log e i backup del DB, tutte le risorse disponibili per il caricamento sono state verificate utilizzando firme digitali dal log Sigstore e chiavi PGP, e un audit del codice sorgente dei servizi utilizzati \u00e8 stato effettuato internamente. Il 23 aprile il codice sorgente \u00e8 stato ulteriormente esaminato con strumenti AI, e il 1\u00b0 giugno \u00e8 stata coinvolta l'azienda Trail of Bits per un'audit esterna sull'infrastruttura python.org e sui processi di rilascio di Python. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"