Razvijalci repozitorija Python paketov PyPI (Python Package Index) so sporočili o ugotovitvi težave z varnostjo v implementaciji funkcije "Organization Team", ki omogoča oblikovanje ekipe več razvijalcev, ki skupaj delajo na projektu v PyPI. Bistvo ugotovljenih težav je v tem, da so privilegiji, dodeljeni uporabniku kot članu "Organization Team", ostali po odstranitvi uporabnika iz organizacije. Ranljivost v PyPI je bila odpravljena dve uri po poročanju o težavi. Opravljen pregled ni pokazal nepooblaščenih dejanj, povezanih z uporabo nedoseženih pravic dostopa.
O varnostnem incidentu so prav tako poročali razvijalci repozitorija crates.io, prek katerega so distribuirani paketi v programskem jeziku Rust. V infrastrukturi crates.io, ko pride do napak na strani strežnika, informacije o obdelanih zahtevkih v trenutku nastanka težave pošljejo v monitoring storitev Sentry. Težava je povezana s tem, da so med pošiljanimi podatki bili vključeni tudi podatki iz polja z vsebino Cookie "cargo_session", ki je vseboval sejo ključ, ki identificira uporabnika. Tujec, ki pridobi ta ključ, lahko izvaja katerokoli dejanje v neizpolnjenem sejstvu uporabnika.
Opaža se, da je dostop do strežniku monitoringa Sentry imel samo omejen krog članov ekip, ki upravljajo infrastrukturo projekta in repozitorij crates.io, ki že imajo privilegiran dostop do delovnih strežnikov crates.io. Dokazi, da so se v logih obdržani sejni ključi uporabljali s strani nekoga, niso bili ugotovljeni. Po odpravi težave so bili ti Cookies odstranjeni iz vseh zapisov o dogodkih v Sentry, aktivne seje uporabnikov pa zaključene.
Izvor: opennet.ru
