Python Software Foundation har avslöjat information om en kritisk sÄrbarhet i API:et för hantering av releaser, som skulle kunna anvÀndas för att attackera infrastrukturen för Python-projektet. SÄrbarheten tillÀt att kringgÄ autentiseringssystemet och koppla upp sig till API:et för hantering av releaser med administratörsrÀttigheter genom att skicka en förfrÄgan med vilken nyckel som helst och ange en av administratörerna i fÀltet för anvÀndarnamn.
De rÀttigheter som erhölls vid framgÄngsrik utnyttjande av sÄrbarheten gav angriparen möjlighet att Àndra lÀnkar till Python-releaser och metadata för verifiering av korrektheten av de nedladdade filerna, som publicerades pÄ sidan python.org/downloads. SÄrbarheten tillÀt dock inte Àndring av innehÄllet i befintliga releasefiler.
Granskningen av databasen och loggarna avslöjade inga spÄr av utnyttjande av sÄrbarheten. Det antas ocksÄ att manipulation av lÀnkarna till releaserna inte kunde gÄ obemÀrkt förbi, eftersom mÄnga leverantörer anvÀnder ett system för kryptografisk verifiering av koden Sigstore och kontroller med hjÀlp av PGP-nycklar vid nedladdning.
SÄrbarheten har funnits i koden sedan 2014 och orsakades av blandning av hanterare för gÀstinloggningar och autentisering med nycklar för API:et. Om autentisering med API-nyckeln misslyckades, utfördes en ÄtergÄng i koden till anvÀndning av gÀstÄtkomst.
SÄrbarheten upptÀcktes den 23 februari och ÄtgÀrdades dagen efter, varefter flera integritetskontroller av infrastrukturen genomfördes: den 25 februari analyserades loggar och databassÀkerhetskopior, alla resurser som var tillgÀngliga för nedladdning kontrollerades med hjÀlp av digitala signaturer frÄn Sigstore-loggen och PGP-nycklar, och en intern granskning av kodbasen för de anvÀnda tjÀnsterna genomfördes. Den 23 april kontrollerades kodbasen ytterligare med AI-verktyg, och den 1 juni anlades företaget Trail of Bits för att genomföra en extern granskning av infrastrukturen python.org och processerna för att skapa Python-releaser.
KĂ€lla: opennet.ru
