12 Jahre alter Bug: Manipulierbare Download-Links auf Python.org
Mehr als ein ganzes Jahrzehnt lang hätten Angreifer die offiziellen Links der Python Software Foundation im Downloadbereich auf Python.org manipulieren können. Das geht aus einer Mitteilung(öffnet im neuen Fenster) hervor, die die betroffene Organisation selbst veröffentlicht hat. Ursache war demnach eine Sicherheitslücke, mit der die Authentifizierung der Release-Management-API der Plattform umgangen werden konnte.
Durch die Angabe eines Admin-Nutzernamens in Verbindung mit einem beliebigen API-Schlüssel seien Anfragen an die API mit Administratorrechten verarbeitet worden, heißt es. Dadurch soll es Angreifern möglich gewesen sein, Metadaten für offizielle Python-Releases zu manipulieren, welche auf Python.org/downloads(öffnet im neuen Fenster) bereitgestellt werden.
Veränderungen an den originalen Release-Dateien seien zwar nicht möglich gewesen, sehr wohl aber das Austauschen der Download-Links zu den jeweiligen Dateien. Angreifer hätten also Schadsoftware auf einem eigenen Server hosten und über die offiziellen Python-Download-Links darauf verweisen können.
Keine Hinweise auf Ausnutzung
Bei anderen Softwareprojekten wie JDownloader, CPU-Z und HWMonitor gab es zuletzt vergleichbare Sicherheitsprobleme. Die wurden auch tatsächlich von Angreifern ausgenutzt, so dass Anwender teilweise Malware von den offiziellen Downloadseiten der Anbieter herunterluden.
Bei der Python Software Foundation scheint es nach bisherigem Kenntnisstand keine entsprechenden Attacken gegeben zu haben. Die Organisation räumt allerdings auch ein, dass sich das aufgrund des Alters der Lücke nicht mit Gewissheit feststellen lässt. Eingeführt wurde die Schwachstelle nämlich schon im Februar 2014(öffnet im neuen Fenster).
Derart alte Protokolle und Backups zur Überprüfung möglicher Eingriffe in die Metadaten liegen der Foundation nicht mehr vor. Dennoch hält die Organisation es für unwahrscheinlich, dass Angreifer die Lücke ausgenutzt haben, da dies angesichts der Vielzahl nachgelagerter Tools und Verbreitungskanäle mit automatisierten Signaturprüfungen "auffällig" gewesen und schnell entdeckt worden wäre.
Gepatcht und auditiert
Entdeckt wurde die Lücke schon am 23. Februar. Nur einen Tag später war bereits eine Korrektur implementiert. Danach hat die Python Software Foundation das System mit KI-Tools und durch ein Audit der Sicherheitsexperten von Trail of Bits(öffnet im neuen Fenster) auf weitere mögliche Probleme im Hinblick auf die Authentifizierung überprüfen lassen. Dabei sollen jedoch keine weiteren Sicherheitslücken festgestellt worden sein.
- Anzeige Hier geht es zu Künstliche Intelligenz: Wissensverarbeitung bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.