Utvecklarna av Python-paketförrådet PyPI (Python Package Index) har rapporterat om en säkerhetsproblem i implementeringen av funktionen "Organization Team", som gör det möjligt att skapa ett team av flera utvecklare som samarbetar i ett projekt på PyPI. Problemet ligger i att privilegier som delegerats till en användare som medlem i "Organization Team" kvarstod efter att användaren tagits bort från organisationen. Sårbarheten i PyPI åtgärdades två timmar efter att problemet rapporterades. Genomförda granskningar visade inga oauktoriserade åtgärder relaterade till användning av icke återkallade åtkomsträttigheter.
Ett relaterat säkerhetsincident rapporterades också av utvecklarna av paketförrådet crates.io, där paket för programmeringsspråket Rust distribueras. I infrastrukturen för crates.io, vid backendfel, skickas information om de begärningar som behandlades vid tidpunkten för problemet till övervakningstjänsten Sentry. Problemet är att bland de skickade data fanns ett fält med innehållet i Cookie "cargo_session", där sessionstoken som identifierar användaren låg. En utomstående som fått tag på denna nyckel kunde utföra åtgärder under användarens aktiva session.
Det noteras att åtkomst till servern övervakningstjänsten Sentry endast hade vissa medlemmar av de team som underhöll projektets infrastruktur och crates.io-förrådet, som redan hade privilegierad åtkomst till arbetsservrarna för crates.io. Det har inte hittats bevis för att sessionstoken som hamnat i loggarna användes av någon. Efter att problemet åtgärdats togs sådana cookies bort från alla händelseloggningar i Sentry, och relaterade aktiva användarsessioner avslutades.
Källa: opennet.ru
