Vājums Python infrastruktūrā, kas ļāva aizstāt saites uz izlaidumiem vietnē python.org

Python Software Foundation organizācija atklāja kritisku ievainojamību API, kas pārvalda izlaidumus, kuru varētu izmantot uzbrukumam Python projekta infrastruktūrai. Ievainojamība ļāva apiet autentifikācijas sistēmu un pieslēgties izlaidumu pārvaldības API ar administratora tiesībām, nosūtot pieprasījumu ar jebkuru atslēgu un iekļaujot vienu no administratoriem lietotājvārdā.

Iegūtās tiesības, ja ievainojamība tika veiksmīgi izmantota, deva uzbrucējam iespēju veikt izmaiņas Python izlaidumu saitēs un metadatos, kas attiecās uz lejupielādēto failu pareizības pārbaudi, kas bija pieejami vietnē python.org/downloads. Šī ievainojamība neļāva mainīt esošo izlaidumu failu saturu.

Datubāzes un žurnālu audits neatklāja nevienu pierādījumu par ievainojamības izmantošanu. Tāpat tiek uzskatīts, ka izlaidumu saišu aizstāšana nevarēja palikt nepamanīta, jo daudzi piegādātāji lejupielādējot papildus izmanto kriptogrāfiskās koda verifikācijas sistēmu Sigstore un PGP atslēgu pārbaudi.

Ievainojamība bija kodā kopš 2014. gada un radās, sajaucot viesu piekļuves un API autentifikācijas ar atslēgām apstrādātājus vienā kodā. Ja API piekļuves autentifikācija neizdevās, kodā tika veikta atkāpe uz viesu piekļuves izmantošanu.

Ievainojamība tika atklāta 23. februārī un novērsta nākamajā dienā, pēc kā tika veiktas vairākas infrastruktūras integritātes pārbaudes: 25. februārī tika analizēti žurnāli un datubāžu dublējumi, visi pieejamie lejupielādējamie resursi tika pārbaudīti, izmantojot digitālās parakstīšanas no Sigstore žurnāla un PGP atslēgām, kā arī tika veikts kodu bāzes audits. 23. aprīlī kodu bāze tika papildus pārbaudīta, izmantojot AI rīkus, bet 1. jūnijā ārējai auditēšanai python.org infrastruktūrā un izlaidumu veidošanas procesos tika piesaistīta kompānija Trail of Bits.

Avots: opennet.lv