🚨 警告：印度憑證機構私鑰過弱，pip 安裝恐遭中間人攻擊 印度憑證機構 eMudhra（emSign）的 8 組中繼 CA 私鑰被發現「弱到荒謬」：全部小… · @BlockTempo · TwKit

@BlockTempo

🚨 警告：印度憑證機構私鑰過弱，pip 安裝恐遭中間人攻擊 印度憑證機構 eMudhra（emSign）的 8 組中繼 CA 私鑰被發現「弱到荒謬」：全部小於 256，其中一組私鑰數值甚至只有 4，任何人都能偽造看似合法的網站憑證。 對 Python 生態最大的風險是：有人若在你的網路路徑上（例如公共 Wi‑Fi、ISP）假冒 https://pypi.org，舊版 `pip install` 可能在毫無警示下下載到被植入後門的套件。 據 Python 社群公告，目前尚未有已知攻擊；但因為舊版 pip 內建的憑證套件仍信任這些弱金鑰，只更新作業系統憑證不夠。 📌 請立刻更新 1️⃣ pip 升到 26.2.2 或以上（每個虛擬環境都要） 2️⃣ uv 升到 0.13.4 或以上 3️⃣ certifi 升到 2026.10.19 或以上，並重建 Docker 映像 eMudhra 已於 10 月 18 日撤銷這 8 組中繼憑證，並表示這些金鑰從未正式簽發過任何憑證。Node.js、Go、Rust 等生態也已陸續釋出修補。 來源：@L4UR3N7／Python Discuss

曝光 140 · 评论 0 · 点赞 0 · 书签 0