PyPI, l’équivalent d’un Amazon du code Python, concentre des milliers de paquets partagés par des millions de développeurs. Pourtant, jusqu’à présent, ces releases (versions publiées) n’étaient pas figées : même une version sortie en 2019 pouvait encore recevoir des ajouts – comme un nouveau fichier « wheel » (format optimisé pour l’installation).
Le problème ? Un token d’accès volé suffisait à modifier ces fichiers à distance, sans laisser de trace. Résultat : un attaquant pouvait injecter un binaire malveillant dans une release ancienne, utilisée par des milliers – voire millions – d’utilisateurs, sans que personne ne s’en aperçoive. Pas d’avertissement, pas de mise à jour forcée, juste une propagation silencieuse du malware, comme une épidémie numérique.
Pourquoi cette faille n’a-t-elle jamais été exploitée ? Selon Seth Larson, développeur sécurité chez la Python Software Foundation : *« Si ça n’a pas encore été abusé, c’est parce que les acteurs malveillants n’avaient pas réalisé que c’était possible. »* Une porte ouverte en espérant qu’aucun voleur ne fouillerait votre placard… jusqu’à ce que quelqu’un le fasse.
