Falha na API Python: Entenda a vulnerabilidade e solução

Introdução

Recentemente, a comunidade Python descobriu uma vulnerabilidade na API pública de metadados de download do site python.org. A falha permitia que qualquer usuário sem autenticação acessasse informações sensíveis sobre versões, tamanhos e hashes de pacotes, o que poderia facilitar ataques de engenharia social ou a coleta de dados em larga escala. Neste artigo, explicamos a origem do problema, as medidas de mitigação adotadas e como aplicar boas práticas de autenticação em seus próprios serviços.

O que aconteceu?

A API /api/downloads foi projetada para fornecer apenas dados de uso e estatísticas. Porém, a rota /api/downloads/metadata não verificava se a requisição vinha de um cliente autenticado. Como resultado, qualquer endereço IP podia enviar um GET /api/downloads/metadata?pkg=python3.12 e receber um JSON contendo sha256, size e release_date.

Além disso, o endpoint não aplicava controle de rate limit, permitindo a coleta massiva de metadados em poucos segundos. Essa exposição aumentou o risco de vazamento de informações de releases e facilitou a criação de scripts automatizados para mapear versões vulneráveis.

Como a falha foi mitigada

1. Autenticação obrigatória – A API passou a exigir um token JWT válido em cada requisição.
2. Validação de escopo – O token deve possuir o escopo downloads:metadata:read.
3. Controle de taxa (rate limit) por IP – Limite de 60 requisições por minuto por endereço IP.
4. Auditoria – Todas as requisições passaram a ser registradas em um log centralizado com os cabeçalhos de usuário e de IP.

Abaixo, apresentamos um exemplo de como fazer a chamada correta em Python utilizando a biblioteca requests.

Exemplo de código

```python import requests

API_URL = "https://python.org/api/downloads/metadata" TOKEN = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..."

headers = { "Authorization": f"Bearer {TOKEN}", "Accept": "application/json", }

params = {"pkg": "python3.12"}

response = requests.get(API_URL, headers=headers, params=params)

if response.status_code == 200: data = response.json() print(f"Hash: {data['sha256']}") print(f"Tamanho: {data['size']} bytes") else: print(f"Erro {response.status_code}: {response.text}") ```

Dica de segurança: Armazene o token em variáveis de ambiente ou em serviços de gerenciamento de segredos (secrets manager), nunca no código-fonte.

Boas práticas para APIs seguras

| Prática | Por quê? | |---------|----------| | Autenticação forte | Impede o acesso não autorizado. | | Escopos granulares | Limitam as ações que cada token pode realizar. | | Controle de taxa (rate limiting) | Evita abusos e ataques de negação de serviço (DDoS). | | HTTPS obrigatório | Protege os dados em trânsito. | | Auditoria e monitoramento | Permitem detectar padrões suspeitos rapidamente. |

Conclusão prática

A falha de desvio de autenticação (bypass) na API de metadados do python.org ilustra a importância de validar todas as requisições, mesmo aquelas que parecem inofensivas. Ao implementar autenticação JWT, escopos restritos e controle de taxa, você protege dados sensíveis e mantém a confiança dos usuários.

Se você administra uma API semelhante, revise imediatamente suas rotas públicas, adote tokens de acesso e configure limites de requisição. Pequenas mudanças de segurança, como a exigência do cabeçalho Authorization e a limitação de taxa, podem impedir que vulnerabilidades se transformem em incidentes graves.