A organização Python Software Foundation divulgou informações sobre uma vulnerabilidade crítica na API de gerenciamento de releases, que poderia ser utilizada para atacar a infraestrutura do projeto Python. A vulnerabilidade permitia contornar o sistema de autenticação e conectar-se à API de gerenciamento de releases com privilégios de administrador, enviando uma solicitação com qualquer chave e especificando um dos administradores no campo de nome de usuário.
Os direitos obtidos em caso de exploração bem-sucedida da vulnerabilidade permitiam ao atacante fazer alterações nos links das releases do Python e nos metadados para verificação da integridade dos arquivos carregados, disponíveis na página python.org/downloads. No entanto, a vulnerabilidade não permitia alterar o conteúdo dos arquivos de releases existentes.
A auditoria do banco de dados e dos logs não revelou vestígios da exploração da vulnerabilidade. Também se presume que a alteração dos links para releases não poderia ter passado despercebida, uma vez que muitos provedores utilizam um sistema de verificação criptográfica de código Sigstore e validação usando chaves PGP durante o download.
A vulnerabilidade esteve presente no código desde 2014 e foi causada pela mistura em um único código de manipuladores para entradas de convidados e autenticação por chave para a API. Em caso de falha na autenticação por chave de acesso à API, o código reverte para o uso de acesso de convidados.
A vulnerabilidade foi identificada em 23 de fevereiro e corrigida no dia seguinte, após o que várias verificações de integridade da infraestrutura foram realizadas: em 25 de fevereiro, os logs e backups do banco de dados foram analisados, todos os recursos disponíveis para download foram verificados usando assinaturas digitais do log Sigstore e chaves PGP, e uma auditoria do código base dos serviços utilizados foi realizada internamente. Em 23 de abril, o código base foi adicionalmente verificado com ferramentas de IA, e em 1 de junho, a empresa Trail of Bits foi contratada para uma auditoria externa da infraestrutura python.org e dos processos de construção de releases do Python.
Fonte: opennet.ru
