Vývojári repozitára Python balíkov PyPI (Python Package Index) zrealizovali ochranu pred prevzatím projektov nákupom uvoľnených domén uvedených v parametroch účtov. Útok spočíva v tom, že útočníci vyhľadávajú účty priradené k emailom s vypršanými doménami, po čom zaregistrujú uvoľnenú doménu na seba, presmerujú emailovú prevádzku na svoj server a, získajúc kontrolu nad emailom, iniciujú proces obnovenia zabudnutého hesla. V roku 2022 týmto spôsobom získali kontrolu nad Python balíkom ctx.
Na ochranu pred podobnými útokmi bol v PyPI implementovaný denní monitor aktuálnosti doménových mien, používaných v emailových adresách. Emailové adresy s doménami, ktorých platnosť vypršala, sú teraz automaticky prevedené do stavu nepotvrdených. Pre nepotvrdené adresy PyPI neumožňuje vykonať operáciu obnovenia hesla. Opätovnú verifikáciu môže iniciovať len vlastník účtu, ktorý pozná heslo.
Od začiatku júna bolo v používateľskej databáze PyPI zistených viac ako 1800 emailových adries súvisiacich s doménami, ktorých platnosť nebola včas predĺžená. Od 1. januára 2024 prešiel katalóg PyPI na povinnú dvojfaktorovú autentizáciu, bez jej zapnutia nemôže používateľ vykonávať akcie správy projektu. Napriek tomu majú starí používatelia, vytvorení pred zavedením povinnej dvojfaktorovej autentizácie, stále možnosť obnoviť heslo prostredníctvom potvrdenia cez email, ktoré nevyžaduje dvojfaktorovú kontrolu.
Zdroj: opennet.ru
