Nadácia Python Software Foundation odhalila kritickú zraniteľnosť v rozhraní API pre správu vydaní, ktorú bolo možné zneužiť na útok na infraštruktúru projektu Python. Zraniteľnosť umožňovala útočníkovi obísť overenie a pripojiť sa k rozhraniu API pre správu vydaní s oprávneniami správcu odoslaním požiadavky s ľubovoľným kľúčom a zadaním jedného z správcov do poľa s používateľským menom.
Oprávnenia udelené úspešným zneužitím tejto zraniteľnosti umožnili útočníkovi upraviť odkazy na vydania Pythonu a metadáta na overenie stiahnutých súborov, ktoré boli hostované na stránke python.org/downloads. Zraniteľnosť však útočníkovi zabránila v úprave obsahu existujúcich vydaných súborov.
Audit databázy a protokolov neodhalil žiadne dôkazy o zneužití zraniteľnosti. Taktiež sa predpokladá, že falšovanie odkazov na vydanie nemohlo zostať nepovšimnuté, pretože mnohí dodávatelia pri sťahovaní navyše používajú systém overovania kryptografického kódu Sigstore a overovanie kľúča PGP.
Zraniteľnosť bola v kóde prítomná od roku 2014 a bola spôsobená zmiešaním obslužných programov pre prihlásenie hostí a overenie pomocou kľúča API v tom istom kóde. Ak by overenie pomocou kľúča API zlyhalo, kód by sa vrátil k použitiu prístupu hostí.
Zraniteľnosť bola identifikovaná 23. februára a opravená nasledujúci deň, po čom bolo vykonaných niekoľko kontrol integrity infraštruktúry: 25. februára boli analyzované protokoly a zálohy databáz, všetky stiahnuteľné zdroje boli overené pomocou digitálnych podpisov z protokolu Sigstore a kľúčov PGP a bol vykonaný interný audit kódovej bázy používaných služieb. 23. apríla bola kódová bázňa ďalej skontrolovaná pomocou nástrojov umelej inteligencie a 1. júna bola spoločnosť Trail of Bits poverená externým auditom infraštruktúry python.org a procesov vydávania Pythonu.
Zdroj: opennet.ru
