Os desenvolvedores do repositório de pacotes Python PyPI (Python Package Index) implementaram uma proteção contra a captura de projetos através da compra de domínios liberados mencionados nas configurações das contas. O ataque consiste em que atacantes procuram contas ligadas a e-mails com domínios expirados, após o que registram o domínio liberado para si, redirecionam o tráfego de e-mails para seu servidor e, ao obter controle sobre o e-mail, começam o processo de recuperação de senha esquecida. Em 2022, um controle foi obtido sobre o pacote Python ctx dessa forma.
Para proteger contra esses ataques, o PyPI implementou um monitoramento diário da validade domínios, dos domínios usados nos endereços de e-mail. Endereços de e-mail com domínios vencidos agora são automaticamente classificados como não confirmados. Para endereços não confirmados, o PyPI não permite realizar o processo de recuperação de senha. Apenas o proprietário da conta que conhece a senha pode iniciar o reenvio da verificação.
Desde o início de junho, mais de 1800 endereços de e-mail foram identificados na base de usuários do PyPI, relacionados a domínios não renovados a tempo. A partir de 1º de janeiro de 2024, o catálogo PyPI passou a exigir autenticação de dois fatores, sem a qual os usuários não podem realizar ações de gerenciamento de projeto. No entanto, para usuários antigos, criados antes da implementação da autenticação de dois fatores obrigatória, ainda é possível recuperar a senha através da confirmação por e-mail, que não exige a verificação em dois fatores.
Fonte: opennet.ru
