Vývojári repozitára Python balíkov PyPI (Python Package Index) oznámili zistenie problému so zabezpečením v implementácii funkcie „Organizačný tím“, ktorá umožňuje vytvoriť tím viacerých vývojárov pracujúcich spoločne na projekte v PyPI. Podstata zistených problémov spočíva v tom, že privilégiá, delegované používateľovi ako členovi „Organizačného tímu“, zostali zachované aj po odstránení používateľa z organizácie. Zraniteľnosť v PyPI bola odstránená 2 hodiny po nahlásení problému. vykonaná audit nezistil žiadne neoprávnené akcie súvisiace s používaním nevypovedaných prístupov.
O súvisiacom bezpečnostnom incidente tiež informovali vývojári repozitára crates.io, prostredníctvom ktorého sú distribuované balíky v jazyku Rust. V infraštruktúre crates.io, keď dôjde k chybám na strane backendu, sú informácie o spracovávaných požiadavkách v čase výskytu problému odosielané do monitorovacieho servisu Sentry. Problém súvisí s tým, že medzi odosielanými údajmi sa nachádzalo pole s obsahom Cookie „cargo_session“, v ktorom bol uložený reláčny kľúč identifikujúci používateľa. Neoprávnená osoba, ktorá získa tento kľúč, mohla vykonávať akékoľvek akcie v nedokončenom relácii používateľa.
Upozorňuje sa, že prístup k serveru monitorovaniu Sentry mali iba jednotliví členovia tímov, ktorí spravovali infraštruktúru projektu a repozitára crates.io, ktorí už aj tak mali privilegovaný prístup k pracovným serverom crates.io. Dôkazy o tom, že záznamy s reláčnými kľúčmi boli niekým použité, neboli zistené. Po odstránení problému boli podobné Cookies odstránené zo všetkých záznamov o udalostiach v Sentry a súvisiace aktívne relácie používateľov boli ukončené.
Zdroj: opennet.ru
