Utvecklarna av Python-paketförrÄdet PyPI (Python Package Index) har rapporterat om en sÀkerhetsproblem i implementeringen av funktionen "Organization Team", som gör det möjligt att skapa ett team av flera utvecklare som samarbetar i ett projekt pÄ PyPI. Problemet ligger i att privilegier som delegerats till en anvÀndare som medlem i "Organization Team" kvarstod efter att anvÀndaren tagits bort frÄn organisationen. SÄrbarheten i PyPI ÄtgÀrdades tvÄ timmar efter att problemet rapporterades. Genomförda granskningar visade inga oauktoriserade ÄtgÀrder relaterade till anvÀndning av icke Äterkallade ÄtkomstrÀttigheter.
Ett relaterat sÀkerhetsincident rapporterades ocksÄ av utvecklarna av paketförrÄdet crates.io, dÀr paket för programmeringssprÄket Rust distribueras. I infrastrukturen för crates.io, vid backendfel, skickas information om de begÀrningar som behandlades vid tidpunkten för problemet till övervakningstjÀnsten Sentry. Problemet Àr att bland de skickade data fanns ett fÀlt med innehÄllet i Cookie "cargo_session", dÀr sessionstoken som identifierar anvÀndaren lÄg. En utomstÄende som fÄtt tag pÄ denna nyckel kunde utföra ÄtgÀrder under anvÀndarens aktiva session.
Det noteras att Ätkomst till servern övervakningstjÀnsten Sentry endast hade vissa medlemmar av de team som underhöll projektets infrastruktur och crates.io-förrÄdet, som redan hade privilegierad Ätkomst till arbetsservrarna för crates.io. Det har inte hittats bevis för att sessionstoken som hamnat i loggarna anvÀndes av nÄgon. Efter att problemet ÄtgÀrdats togs sÄdana cookies bort frÄn alla hÀndelseloggningar i Sentry, och relaterade aktiva anvÀndarsessioner avslutades.
KĂ€lla: opennet.ru
