Python 安全性
報告 PyPI 或 PyPI 上託管的專案的安全問題
請在此處檢視 pypi.org 的安全問題資訊 此處。
報告安全問題
Python 軟體基金會和 Python 開發者社群非常重視安全漏洞。已經成立了一個 Python 安全響應小組 (PSRT),負責對所有報告的漏洞進行分類並努力解決這些漏洞。要聯絡響應小組,請傳送電子郵件至 security at python dot org。只有響應小組的成員會看到您的電子郵件,並且會將其保密處理。
PSRT 郵件列表受到嚴格控制,因此您可以確信您的安全問題只會由一小群高度信任的 Python 開發者閱讀。如果出於某種原因您希望進一步加密傳送給此郵件列表的訊息(例如,如果您的郵件系統不使用 TLS),您可以使用我們的共享 OpenPGP 金鑰,該金鑰也可在公共金鑰伺服器上找到。
PSRT 接受以下專案的安全報告
- 在 https://python.club.tw/downloads 上提供的 CPython 版本(受支援的和已終止支援的)
- 在 https://pypi.org/project/pip 上提供的 pip 版本
PSRT 不接受關於 Python 或 pip 的第三方重新分發的報告。這些報告應直接傳送給其相應的發行版安全聯絡人。
漏洞處理
以下是從報告到披露的漏洞處理過程的概述
- 報告者私下向 PSRT 報告漏洞。
- 如果 PSRT 確定報告不是漏洞,則可以在公共問題跟蹤器中開啟該問題(如果適用)。
- 如果報告構成漏洞,PSRT 將與報告者私下合作解決該漏洞。
- 專案建立一個新版本來提供修復程式。
- 該專案公開宣佈漏洞,並透過公告描述如何應用修復程式。此時,報告者和團隊可以公開討論該漏洞。
漏洞賞金
儘管我們衷心感謝並鼓勵報告受支援的 Python 版本和 PSF Web 基礎設施中發現的可疑安全問題,但請注意,Python 軟體基金會不執行任何漏洞賞金計劃。我們是一個非營利組織,依賴於社群的捐贈和支援。
已釋出的公告和郵件列表
安全公告會發布到多個公共位置。公告會透過電子郵件傳送到 security-announce@python.org 郵件列表。如果您想了解新發布的安全公告的最新資訊,請訂閱該郵件列表。該郵件列表有一個 公共存檔,包括髮送到該列表的所有歷史公告。
CVE 編號機構 (CNA) 聯絡方式
如果您需要直接聯絡 Python 軟體基金會 CNA,例如更新或質疑 CVE 記錄,您可以傳送電子郵件至 cna at python dot org。請確保所討論的 CVE 記錄是由 PSF CNA 而不是其他 CNA 頒發的。
OpenGPG 金鑰
金鑰指紋
pub 2048R/D067453C 2010-09-08 Key fingerprint = F314 452F E3F9 BF87 0435 7732 D273 E0FF D067 453C uid Python Security Response Team <security@python.org> sub 2048R/0953421B 2010-09-08
金鑰資料
-----BEGIN PGP PUBLIC KEY BLOCK----- Version: GnuPG v1.4.10 (GNU/Linux) mQENBEyH8KIBCADLe9mczGnhhLFBbxWDgxHzzr/eExGuVQb+VYsa0WDZG4z/y+Kx KsZ8da/adKaiig2soQJiZtYb6w1JDtugwy8+ySDY8ECAB7qdGK6gB17P1UFsI93d IAe25DdEybbi0sMPbw0Q5Ka+ihI1ZnPifyG0oLK901QfTutOYAk42J7V/p6fHzK+ pCeOri+aSGlWxVtC03iPNIiL5InfKPCEvZ5ih8/98hCqccp6teDaGxhnab+5GYZq wDknmK230r5UWd/VlGSiC4DJCuE+GY1r1DXx+E/ANjeMZOXQ4kBMxp8aFz7k1vFX Mbqv+TWD+BZzgu6Fa4KCgWW7Jn1syKpwA7ahABEBAAG0M1B5dGhvbiBTZWN1cml0 eSBSZXNwb25zZSBUZWFtIDxzZWN1cml0eUBweXRob24ub3JnPokBOAQTAQIAIgUC TIfwogIbAwYLCQgHAwIGFQgCCQoLBBYCAwECHgECF4AACgkQ0nPg/9BnRTwRowf+ IN0rG5Gj/quhfhS0CyqoYYu3H9I8WDSw9I7GjVQY0KZAbYEmNbZ/Kmwa59opXoIG Kfo2KEDVwADf17vpdIER9bcpFF0fPFnAGI1XWQKkZX8uckB4TkEQvxZpLjD14XX8 eFMXwLBc3IGMYRJUIgEC5C2/TkaCc5qgTw0P8tCd7JNgey+Ogf1KE0ks34MKsXD4 xV4WS2Kfu2HjoAURhqQHr3Ug5kFKIHAeKY7EAVUvGp6r4uMCsAWKKUWUZfYSpH7+ UAWOtxEbDpDt5IrmOI2V60X3qGaNMxF+wQc/MpM+L1BN4bdf6dlB3u6gHkixdoMl Yh6/T7NZMZ3HKV3RC5hf6IkCHAQQAQgABgUCTIf47gAKCRASbrVjp0sGv5+9D/wI aR0a/S5lin5FfNUCLL528+aJlV0XHMrugPrwB8jOdM3367ORgHxx3qHcgLJuoBRn zQ1v1SaqvN4TvQ1tDtS5+lsCSBjCpzMQxcZY6VMm59ulZ80PHsOqYVj5ev8KHq/h pDAHSCvnE52MUKNm33+SJ2q6KLGs0hb3HL2RBEX9f9+3XCLdOlbETPiQIipN2jx3 QFhcIZTAlVOY7R3ENrFNx8pmK5Dpsu7vchPEDl4ssfnQom9mTU5en9Ix7UDSTNLC XmMxvaoafRYgBH9rzXJgHvHO/37uE/2PstTF0h40Vl0UoNSqr2aKN1fR0DJgr4A4 aiOyaHCXvPanVuNcW4FJYiO9QlYQfZvjvGtazqRSc+WzuKDYfKYpRgcYsSAUz1DI 0voJ/oaaQ8XcTeW5l8P6AlFfYCJ/yqKOL4lQ5qM64So4MuQyplos/LvqKTt9MYPt 2MjEwa7n5++YWKIYMywb2A7KXymav6yf+kMLRpymQweH5f8ZHoR1mSs4Ac5HpZ1M COtGrHRY6iWw/5SLkm+INm6jqo1bU0Vzm/2ju4omie68jVkv9byoGcrty9xookfA +fHCVx8LV4hBFWcCKmH7NFWY8Iq3UgrbpHYal4vuOJlmEMZayHRJ4dtEZTD/kGul gQL/xmVVGLtNGCvodmcx5VU8QAUBr0p0dWX79yVlCLkBDQRMh/CiAQgAsWKEEJTn D+pf0zZc1bt0fHNLEk36G+aHMK77LzhPpeAOCm3296vjjoKy99OAKuyKMVFY59nK zZ3lXvP89yuxgJwWJM7uf0iZ0njo1DPxyZ1jldPiZEiXhShwDNAQR3EkP8IvilsV 3BKcWO/E6wCiMLQFpWDlPdTw7v3LwGnDNk6AmU6Jiy0tbraNyq7USIu+80yUcJ/K HYXPgx0ZEZIWhQKonekN+AhpJaSOUPVeYdxMwj3ZSHOTfzORXVnjbscPnfStz5F6 fVnikDnSZYgOauaJCEwqVEpdxM9O7wuRsZf4UGN13wMMbRnEDnmt2VBsNK2NNqvQ UcimMcbO9y2V5wARAQABiQEfBBgBAgAJBQJMh/CiAhsMAAoJENJz4P/QZ0U8KaMI AIukbpQFcoVVzA/DbQhkCYkCdYYWXacC71xoq45mnM/gSDMGBaitZIX/ngvDLH7I 7tf+fOcIo0w+mPBuGQZfGHyYZ2Qv1DHgdYJC4U8ccftnzv6GxYxiwB6elVFgOrS8 8B5Y9GdUDzjO8ZF3zzdq0Hy4AN/cn+ybkDWDxwLncdM9FX39cHnEEmZE+u9qaacK r/uhVveqbNOH9N6iwrp0Oc0D6Ktq9uU+sGC+6XBRhZlUT0yExyxEG1abpIIC1Kby tQvO+Ejsx6fV55784qypqDyp7dtPHWCXD7mwI3zneYZbnV0nZvznBhNE4DqHuqvI 8C7KT7DjqaL3FVHdMtyrcPk= =Z6PM -----END PGP PUBLIC KEY BLOCK-----