PYPI artık hesapları kaçırma için kullanılan etki alanı diriliş saldırılarını engelliyor

Python Paket Dizini (PYPI), şifre sıfırlamaları yoluyla hesapların kaçırılmasını sağlayan etki alanı diriliş saldırılarına karşı yeni korumalar getirdi.

Pypi, açık kaynaklı Python paketleri için resmi depodur. Yazılım geliştiricileri, ürün bakıcıları ve Python kütüphaneleri, araçları ve çerçevelerle çalışan şirketler tarafından kullanılır.

PYPI’da Yayınlama Yazılımı Proje Bakımcılarının hesapları e -posta adresleriyle bağlantılıdır. Bazı projeler söz konusu olduğunda, e -posta adresi bir alan adına bağlıdır.

Bir alan adı sona ererse, bir saldırgan bunu kaydedebilir ve bir e -posta sunucusu oluşturduktan ve hesap için bir şifre sıfırlama isteği verdikten sonra PYPI’daki bir projenin kontrolünü ele geçirmek için kullanabilir.

Bunun risk, kaçırılan projelerin, birçok durumda PIP kullanılarak otomatik olarak kurulacak olan popüler Python paketlerinin kötü niyetli versiyonlarını ittiği bir tedarik zinciri saldırısıdır.

Böyle bir saldırının dikkate değer bir örneği, Mayıs 2022’deki ‘CTX’ paketinin uzlaşmasıydı ve bir tehdit oyuncusu Amazon AWS anahtarlarını ve hesap kimlik bilgilerini hedefleyen kod ekledi.

Bu sorunun üstesinden gelmek için PYPI, platformdaki doğrulanmış e -posta adreslerinin alanlarının süresi dolup geçmediğini veya son kullanma aşamalarını girip girmediğini kontrol ediyor ve bu adresleri doğrulanmamış olarak işaretliyor.

Teknik olarak, PYPI, belirli bir hesapta eylemin yapılması gerekip gerekmediğine karar vermek için bir alanın yaşam döngüsü aşamasını (aktif, lütuf dönemi, itfa dönemi, silme süresi, silme süresi, silme süresi) belirlemek için DomainR’nin durum API’sını kullanır.

E -posta adresleri bu duruma girdikten sonra, şifre sıfırlaması veya diğer hesap kurtarma işlemleri için kullanılamazlar, böylece bir saldırgan etki alanını kaydetse bile sömürü için fırsat penceresini kapatırlar.

Yeni önlemler, manzarayı değerlendirmek için geçici taramalar yapıldığı Nisan ayında gelişmeye girdi. Sonunda, Haziran 2025’te günlük taramalarla tanıtıldı. O zamandan beri, yeni sistem altında 1.800’den fazla e -posta adresi doğrulanmadı.

Tüm saldırı senaryolarına karşı kusursuz veya yeterli olmasa da, yeni önlemler, süresi dolmuş alanların sömürülmesi yoluyla PYPI hesaplarını ele geçirme riskini önemli ölçüde azaltır.

PYPI, kullanıcıların, kesintileri önlemek için hesaplarına bir yedek e-posta eklemelerini ve kaçırmaya karşı daha güçlü koruma için PYPI hesaplarında iki faktörlü kimlik doğrulamasını etkinleştirmelerini önerir.