{"id":182333,"date":"2026-06-27T20:48:06","date_gmt":"2026-06-27T18:48:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org"},"modified":"2026-06-27T20:48:06","modified_gmt":"2026-06-27T18:48:06","slug":"bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","title":{"rendered":"En brist i Python-infrastrukturen som gjorde det m\u00f6jligt att \u00e4ndra l\u00e4nkar till utg\u00e5vor p\u00e5 python.org-webbplatsen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Python Software Foundation har avsl\u00f6jat information om en kritisk s\u00e5rbarhet i API:et f\u00f6r hantering av releaser, som skulle kunna anv\u00e4ndas f\u00f6r att attackera infrastrukturen f\u00f6r Python-projektet. S\u00e5rbarheten till\u00e4t att kringg\u00e5 autentiseringssystemet och koppla upp sig till API:et f\u00f6r hantering av releaser med administrat\u00f6rsr\u00e4ttigheter genom att skicka en f\u00f6rfr\u00e5gan med vilken nyckel som helst och ange en av administrat\u00f6rerna i f\u00e4ltet f\u00f6r anv\u00e4ndarnamn. <\/p>\n
De r\u00e4ttigheter som erh\u00f6lls vid framg\u00e5ngsrik utnyttjande av s\u00e5rbarheten gav angriparen m\u00f6jlighet att \u00e4ndra l\u00e4nkar till Python-releaser och metadata f\u00f6r verifiering av korrektheten av de nedladdade filerna, som publicerades p\u00e5 sidan python.org\/downloads. S\u00e5rbarheten till\u00e4t dock inte \u00e4ndring av inneh\u00e5llet i befintliga releasefiler. <\/p>\n
Granskningen av databasen och loggarna avsl\u00f6jade inga sp\u00e5r av utnyttjande av s\u00e5rbarheten. Det antas ocks\u00e5 att manipulation av l\u00e4nkarna till releaserna inte kunde g\u00e5 obem\u00e4rkt f\u00f6rbi, eftersom m\u00e5nga leverant\u00f6rer anv\u00e4nder ett system f\u00f6r kryptografisk verifiering av koden Sigstore och kontroller med hj\u00e4lp av PGP-nycklar vid nedladdning.<\/p>\n
S\u00e5rbarheten har funnits i koden sedan 2014 och orsakades av blandning av hanterare f\u00f6r g\u00e4stinloggningar och autentisering med nycklar f\u00f6r API:et. Om autentisering med API-nyckeln misslyckades, utf\u00f6rdes en \u00e5terg\u00e5ng i koden till anv\u00e4ndning av g\u00e4st\u00e5tkomst. <\/p>\n
S\u00e5rbarheten uppt\u00e4cktes den 23 februari och \u00e5tg\u00e4rdades dagen efter, varefter flera integritetskontroller av infrastrukturen genomf\u00f6rdes: den 25 februari analyserades loggar och databass\u00e4kerhetskopior, alla resurser som var tillg\u00e4ngliga f\u00f6r nedladdning kontrollerades med hj\u00e4lp av digitala signaturer fr\u00e5n Sigstore-loggen och PGP-nycklar, och en intern granskning av kodbasen f\u00f6r de anv\u00e4nda tj\u00e4nsterna genomf\u00f6rdes. Den 23 april kontrollerades kodbasen ytterligare med AI-verktyg, och den 1 juni anlades f\u00f6retaget Trail of Bits f\u00f6r att genomf\u00f6ra en extern granskning av infrastrukturen python.org och processerna f\u00f6r att skapa Python-releaser. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"