Os desenvolvedores do repositório de pacotes Python PyPI (Python Package Index) relataram uma falha de segurança na implementação da função "Organization Team", que permite formar uma equipe de vários desenvolvedores trabalhando em conjunto em um projeto no PyPI. A essência dos problemas detectados é que as permissões delegadas a um usuário como membro da "Organization Team" eram mantidas mesmo após a remoção do usuário da organização. A vulnerabilidade no PyPI foi corrigida duas horas depois do relatório sobre o problema. A auditoria realizada não identificou ações não autorizadas relacionadas ao uso de permissões não revogadas.
Os desenvolvedores do repositório crates.io, que distribui pacotes na linguagem Rust, também relataram um incidente de segurança. Na infraestrutura do crates.io, quando ocorrem erros no lado do backend, as informações sobre as solicitações processadas no momento do problema são enviadas para o serviço de monitoramento Sentry. O problema está relacionado ao fato de que entre os dados enviados havia um campo com o conteúdo do Cookie "cargo_session", que continha a chave de sessão que identifica o usuário. Um terceiro que obtivesse essa chave poderia realizar qualquer ação na sessão não finalizada do usuário.
Observa-se que o acesso ao servidor monitoramento Sentry era permitido apenas a membros específicos das equipes que mantêm a infraestrutura do projeto e o repositório crates.io, que já têm acesso privilegiado aos servidores de trabalho do crates.io. Não foram encontradas evidências de que as chaves de sessão registradas nos logs foram utilizadas por alguém. Após a correção do problema, esses Cookies foram removidos de todos os registros de eventos no Sentry, e as sessões ativas relacionadas foram encerradas.
Fonte: opennet.ru
