Python ekibi eMudhra güvenlik açığı nedeniyle pip güncellemesi çağrısı yaptı
Öne çıkanlar
- eMudhra ara sertifikalarındaki özel anahtar zayıflığı nedeniyle emSign kök sertifikası certifi paketinden çıkarıldı.
- Pip aracının içindeki certifi deposu nedeniyle kullanıcıların pip'i en az 26.2.2 sürümüne yükseltmesi gerekiyor.
- CPython ekibi, etkilenen sertifikaları doğrudan ssl modülü içinde engellemek için yeni yamalar üzerinde çalışıyor.
Python geliştiricileri, eMudhra ara sertifikalarını etkileyen kritik bir güvenlik zafiyeti nedeniyle acil eylem çağrısında bulundu. Yetkilendirme kuruluşuna ait sekiz ara sertifikadaki eliptik eğri özel anahtarlarının aşırı derecede zayıf değerler kullandığı ortaya çıktı. Bu zafiyet, saldırganların TLS bağlantılarına araya girme saldırısı (MITM) düzenlemesine imkan tanıyor. Bu nedenle kök sertifika havuzlarından emSign kök sertifikası kaldırıldı.
Python ekibi, kullanıcıların pip paket yöneticisini en az 26.2.2 sürümüne derhal yükseltmesi gerektiğini duyurdu. Pip, işletim sisteminin sertifika deposuna ek olarak kendi içinde gömülü certifi paketini kullandığı için, işletim sistemi düzeyinde sertifikayı engellemek riski tek başına ortadan kaldırmıyor. Güvenli güncelleme için geliştiriciler, SHA256 sağlama toplamı doğrulanmış tekerlek (wheel) dosyası üzerinden doğrudan kurulum yöntemini paylaştı.
Geliştiriciler ayrıca sanal ortamların, uv gibi alternatif paket yöneticilerinin ve Docker imajlarının taranıp güncellenmesini istedi. uv kullanıcıları sistem sertifikalarını zorunlu kılarak korunabilirken, Python'ın CPython tarafında SSL modülü seviyesinde ek savunma önlemleri ve yeni hata düzeltme sürümleri hazırlığı başladı.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.