Organizacija Python Software Foundation je razkrila informacije o kritični ranljivosti v API-ju za upravljanje izdaj, ki se je lahko izkoristila za napad na infrastrukturo projekta Python. Ranljivost je omogočila obhod avtentikacijske sistema in povezovanje na API za upravljanje izdaj z administratorskimi pravicami prek pošiljanja zahteve z katerim koli ključem in navedbo enega od administratorjev v polju z imenom uporabnika.
Pravice, pridobljene v primeru uspešne izkoriščenosti ranljivosti, so napadalcu omogočile, da je spreminjal povezave do izdaj Pythona in metapodatke za preverjanje pravilnosti prenesenih datotek, objavljenih na strani python.org/downloads. Pri tem ranljivost ni omogočala spremembe vsebine obstoječih datotek z izdajami.
Revizija baze podatkov in dnevnikov ni pokazala sledi izkoriščenosti ranljivosti. Prav tako se predvideva, da bi zamenjava povezav do izdaj ostala neopažena, saj mnogi ponudniki pri prenosu dodatno uporabljajo sistem kriptografske verifikacije kode Sigstore in preverjanje z uporabo PGP ključev.
Ranljivost je bila prisotna v kodi od leta 2014 in je bila povzročena z mešanjem obdelovalcev za gostinske dostope in avtentifikacijo prek ključev za API. V primeru napake pri avtentikaciji s ključem dostopa do API, je v kodi prišlo do povratka k uporabi gostinskega dostopa.
Ranljivost je bila ugotovljena 23. februarja in odpravljena dan kasneje, nato so bile izvedene številne preveritve celovitosti infrastrukture: 25. februarja so bili analizirani dnevniki in varnostne kopije baze podatkov, vsi dostopni viri za prenos so bili preverjeni z uporabo digitalnih podpisov iz dnevnika Sigstore in PGP ključev, lastna revizija kode uporabljenih storitev je bila izvedena. 23. aprila je bila koda dodatno preverjena s pomočjo AI orodij, 1. junija pa je bila za zunanjo revizijo infrastrukture python.org in procesov oblikovanja izdaj Pythona angažirana družba Trail of Bits.
Izvor: opennet.ru
