Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Брешь в инфраструктуре Python, позволявшая подменить ссылки на релизы на сайте python.org"	+/–
Сообщение от opennews (??), 27-Июн-26, 09:56
Организация Python Software Foundation раскрыла информацию о критической уязвимости в API для управления релизами, которую можно было использовать для атаки на инфраструктуру проекта Python. Уязвимость позволяла обойти систему аутентификации и подключиться к API управления релизами с правами администратора через отправку запроса с любым ключом и указании имени пользователя "admin"... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=65786
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

2. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+6 +/–
Сообщение от Ivan_83 (ok), 27-Июн-26, 10:00
> Также предполагается, что подмена ссылок на релизы не могла остаться незамеченной, так как многие поставщики при загрузке дополнительно используют систему криптографической верификации кода Sigstore и проверку с использованием PGP-ключей. Ох уж эти деды, отстали от жизни! Надо как самый безопасный язык было ставится: curl | sh Эксперты по безопасности гарантируют!
Ответить | Правка | Наверх | Cообщить модератору

	13. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	–1 +/–
	Сообщение от Аноним (13), 27-Июн-26, 11:30
	там обычно курлится сайт по https, а это безопасно
	Ответить | Правка | Наверх | Cообщить модератору

	14. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	–1 +/–
	Сообщение от Ivan_83 (ok), 27-Июн-26, 11:32
	Смешные. Тут этот ваш https тоже был. А учитывая что LE кому попало серты выдаёт и историю как MithM делали на джаббер ру то цена этому https около нуля.
	Ответить | Правка | Наверх | Cообщить модератору

	18. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	–1 +/–
	Сообщение от q (ok), 27-Июн-26, 11:42
	> джаббер ру А есть второй пример в методичке? Ну, джаббер ру в каком-то лохматом году -- это раз. А есть второй пункт в этом списке, разоблачающий безопасность https? ну так, чтобы все такие: "нихрена себе, в этом списке не один, а как минимум два пункта! вот это охренеть не встать! всё, срочно переходим обратно на telnet и http! потому что https абсолютно не безопасен!"
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+2 +/–
	Сообщение от Аноним (19), 27-Июн-26, 13:53
	On 10 July 2011 an attacker with access to DigiNotar's systems issued a wildcard certificate for Google. This certificate was subsequently used by unknown persons in Iran to conduct a man-in-the-middle attack against Google services.[25][26] On 28 August 2011 certificate problems were observed on multiple Internet service providers in Iran.[27] The fraudulent certificate was posted on Pastebin.[28] According to a subsequent news release by VASCO, DigiNotar had detected an intrusion into its certificate authority infrastructure on 19 July 2011.[29] DigiNotar did not publicly reveal the security breach at the time
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	–1 +/–
	Сообщение от YetAnotherOnanym (ok), 29-Июн-26, 10:41
	> attacker with access С этого момента, пожалуйста, поподробней. Как конкретно данный attacker получил этот самый access? > unknown persons in Iran А, ну, всё понятно. Бородатые фанатики поломали интернет цивилизованному миру.
	Ответить | Правка | Наверх | Cообщить модератору

	21. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+1 +/–
	Сообщение от Ivan_83 (ok), 27-Июн-26, 14:00
	Джаббер ру был не в лохматом году, а совсем не давно. Ещё - хз, полагаю таких случаев были десятки просто всех кто мог знать или посадили или это были те кто садил и потому до публики они не дошли. На примере джаббер ру просто вскрылся механизм как правоохранители работают, и что ничего не мешает точно так же имея возможность MithM (со стороны сервера) выписывать себе эти самые сертификаты. Будет лулзово когда джепот с инсталляций самого безопасного языка таки рванёт. Хотя я где то видел ещё подобные методы установки.
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	26. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+2 +/–
	Сообщение от Аноним (19), 27-Июн-26, 16:47
	да там как бы куча "тестовых случаев вы не понисаете это другое". гуглите Timeline of Certificate Authority Failures
	Ответить | Правка | Наверх | Cообщить модератору

	37. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+2 +/–
	Сообщение от nnam (?), 28-Июн-26, 19:57
	безопасно потому что замочек зелёный, да? )
	Ответить | Правка | К родителю #13 | Наверх | Cообщить модератору

	22. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+1 +/–
	Сообщение от Аноним (22), 27-Июн-26, 14:20
	>> Также предполагается, что подмена ссылок на релизы не могла остаться незамеченной, так как многие поставщики при загрузке дополнительно используют систему криптографической верификации кода Sigstore и проверку с использованием PGP-ключей. > Ох уж эти деды, отстали от жизни! > Надо как самый безопасный язык было ставится: curl | sh > Эксперты по безопасности гарантируют! Местным экспертам-по-всему неплохо бы иногда проверять методички. А то оно конечно да, "мы все так говорим, а значит это правда!", но выйти таки может неловко ... > Each of these binaries is signed with the Rust signing key, which is available on keybase.io, by the Rust build infrastructure, with GPG. In the tables below, the .asc files are the signatures. https://static.rust-lang.org/rust-key.gpg.ascii https://static.rust-lang.org/dist/rust-1.96.0-x86_64-unknown... https://static.rust-lang.org/dist/rust-nightly-x86_64-unknow...
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	23. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Ivan_83 (ok), 27-Июн-26, 14:34
	Чувак, а покажи мне каким таким ключём подписан тот самый shell script который скачивается курлом? И где там в курле проверка подписи этого скрипта?
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+2 +/–
	Сообщение от Аноним (22), 27-Июн-26, 14:38
	> Чувак, а покажи мне каким таким ключём подписан тот самый shell script > который скачивается курлом? > И где там в курле проверка подписи этого скрипта? "Ваши подписи не подписи вовсе, потому что можно их и проигнорить!" (то, что в сабже новости можно сделать ровно то же самое - это другое и не считается!) 🤦🤦
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+1 +/–
	Сообщение от Ivan_83 (ok), 27-Июн-26, 18:01
	Можно проигнорить и подписей совсем нет - две сильно разные ситуации.
	Ответить | Правка | Наверх | Cообщить модератору

	29. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Аноним (29), 27-Июн-26, 21:30
	Чисто логически -- да, две разные. На практике же, если что-то не является обязательным, это может с таким же успехом не существовать вообще. Проблема доверия -- социальная, а значит не имеет технического решения. Правда, чтобы это понять надо с людьми работать, что для айтишников хуже каторги.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от YetAnotherOnanym (ok), 29-Июн-26, 10:45
	> если что-то не является обязательным, это может с таким же успехом не существовать вообще Нет. Вопрос в том, на ком ответственность. Если подпись есть, но юзер может нагнуть софтину эту подпись игнорить - это ответственность юзера. Если же подписи нет вообще - это ответственность того, кто не предоставил подпись для проверки. > надо с людьми работать, что для айтишников хуже каторги Вот здесь - 100% согласен.
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Ivan_83 (ok), 29-Июн-26, 13:05
	Не надо тут сводить ситуацию что: "подписи" в tls достаточно, а gpg оверхэд который никому не нужен. Речь была в принципе про модель распространения, когда человека приучать бездумно (как на венде) запускать всё что скачалось. Есть ещё меинтейнеры, которые курл не употребляют, и прописывают сразу правильные хэши.
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	28. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Аноним (28), 27-Июн-26, 18:04
	Тем же самым, которым подписаны все пакеты во всех дистрибутивах линукса, все тарболлы с исходниками. Кроме фряхи. В фряхе можно ничего не подписывать, ей svn и отсутствие пользователей обеспечивают безопасность.
	Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

	39. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Соль земли2 (?), 29-Июн-26, 09:55
	Пора открывать ящик пандоры. while true; do cat /dev/urandom | sudo bash; done
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

3. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+2 +/–
Сообщение от Аноним (3), 27-Июн-26, 10:23
На подписи полагаться тоже наивно. Вон даже Асус распространял подписанные вирусы, а ведь монополист.
Ответить | Правка | Наверх | Cообщить модератору

	12. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	–2 +/–
	Сообщение от Ivan_83 (ok), 27-Июн-26, 11:28
	Асус не монопилист и вообще к софту имеет опосредованное отношение, не удивлюсь если они свои кривые софтварные поделки заказывают где то на аутсорсе. Мне ихний софт с начала 2000х не нравится - держусь от него подальше.
	Ответить | Правка | Наверх | Cообщить модератору

	17. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	–2 +/–
	Сообщение от Аноним (3), 27-Июн-26, 11:41
	Не монополист, всего лишь 70% рынка комплектующих. Включая самые качественные. А софт у них со всем оборудованием идёт, никуда от этого не денешься.
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+1 +/–
	Сообщение от Ivan_83 (ok), 27-Июн-26, 13:54
	Хзхз. Я тут недавно разобрал HP и понял что наверное зря до этого с асусом связывался даже в плане железа :) К счастью нынче даже биос вендор сам особо не пишет, так что кривые руки асуса не сильно портят ситуацию. А так, материнки у них бывают неплохие. Но всё что в ОС - лучше сразу удалять вместе с операционкой на всякий случай :))))
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Смузихеб забывший пароль (?), 28-Июн-26, 07:55
	Только ни асус ни хп сами ноуты не делают, не проектируют, не паяют платы итд итп За оч многих это делают несколько огромных ОЕМ/ОДМ производителей в азии Нередко они просто приходят в контору и заказывают компромиссные варианты для разных ценовых категорий, а после - сами конторы уже делают всё остальное, вплоть до подбора деталей/процов/графики/дисплеев Это к слову о том, что смысла заглядывать туда не особо много - всё, что увидишь, просто результат безликого азиатского производителя, а не самой конторы, владеющей брендом Ну и конкретно ХП никогда не нравился. Вроде бы и по железу/ценам норм, а как работать начинаешь - так постоянно что-то происходит. Регулярные падения системы и прочее веселье встречалось в осн у ноутов этого бренда
	Ответить | Правка | Наверх | Cообщить модератору

	36. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Смузихеб забывший пароль (?), 28-Июн-26, 07:57
	п.с: по поводу производителей нюанс ещё в том, что, порой ноуты совершенно разных брендов сделаны по факту одной конторой и даже материнки проектировались и паялись одной и той же конторой со всеми своими специфическими и характерными нюансами
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Ivan_83 (ok), 29-Июн-26, 13:07
	Я слышал что есть платформа клёво для интелов и её многие вендоры себе внутрь пихают. В остальном сильно не интересовался, просто так получилось что у меня разные ноуты оказались и я в них полазал.
	Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

4. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+2 +/–
Сообщение от Аноним (4), 27-Июн-26, 10:28
Да, зато без сегфолтов, поняли?
Ответить | Правка | Наверх | Cообщить модератору

5. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+2 +/–
Сообщение от Аноним (5), 27-Июн-26, 10:58
Кто хоть раз за последние 12 лет скачивал Python? Или лучше спросить кто этого не делал.
Ответить | Правка | Наверх | Cообщить модератору

	6. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	–3 +/–
	Сообщение от Аноним (3), 27-Июн-26, 11:07
	Делаю это примерно 100 раз в год, а что?
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+2 +/–
	Сообщение от Аноним (8), 27-Июн-26, 11:11
	Часто забываешь, что скачал три дня назад?
	Ответить | Правка | Наверх | Cообщить модератору

	9. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	–1 +/–
	Сообщение от Аноним (3), 27-Июн-26, 11:17
	А ты не обновляешь? Ну каждое обновление перекомпилировать надо с нужными мне параметрами и патчами (в дистрибутиве даже пго не включали лет 15), часто нужны несколько версий, если на венде задеплоить что-то надо тоже скачиваешь.
	Ответить | Правка | Наверх | Cообщить модератору

	10. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Аноним (10), 27-Июн-26, 11:24
	На Windows да
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

	25. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+1 +/–
	Сообщение от limafresh (ok), 27-Июн-26, 16:07
	Скачивал
	Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

7. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+2 +/–
Сообщение от Аноним (8), 27-Июн-26, 11:10
> Уязвимость присутствовала в коде с 2014 года Это они удачно призасунули!
Ответить | Правка | Наверх | Cообщить модератору

	38. "Брешь в инфраструктуре Python, позволявшая подменить ссылки ..."	+/–
	Сообщение от Аноним (38), 29-Июн-26, 03:01
	12 лет тебе подсовывали что нужно. просто восхительно, слов нет
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема