Der Python Package Index (PyPI) lehnt künftig Uploads von neuen Dateien ab, die zu Releases hochgeladen werden, die älter als 14 Tage sind.

Seth Larson, „Developer-in-Residence“ für Sicherheit bei der Python Software Foundation, hat diesen Schritt angekündigt. Diese Einschränkung führe man ein um zu verhindern, dass alte und längst stabile Releases manipuliert werden, falls Veröffentlichungs-Token oder Workflows von PyPI-Projekten kompromittiert werden. Soweit bekannt, wurde diese Schwachstelle bisher nicht ausgenutzt, berichtet Larson. Er nennt aber als Grund, dass Angreifern diese Möglichkeit nicht bewusst sei.

Die Diskussion über dieses Vorgehen begann bereits im Januar 2024. Ursprünglich war die Diskussion ins Stocken geraten, da einige Projekte auf diesen Prozess angewiesen waren, um bereits veröffentlichte Releases nachträglich für neue Python-Versionen fit zu machen. Um zu quantifizieren, wie stark sich diese Änderung auf bestehende Workflows auswirken würde, wurde die PyPI-Datenbank nach Projekten durchsucht, die neue Dateien zu alten Releases hinzugefügt hatten. Dabei habe sich gezeigt, dass lediglich 56 der 15.000 Projekte ein mit Python 3.14 kompatibles Wheel mehr als 14 Tage nach der ursprünglichen Veröffentlichung bereitgestellt hatten.

Diese Maßnahme schützt dann Python-Nutzer und reduziert den „Aufräumaufwand“, der für PyPI-Administratoren nach einer Kompromittierung eines Projekts anfällt. Zudem verhindert die Einschränkung, dass Releases in einen unklaren und verwirrenden Zustand geraten – einen Mischzustand aus „kompromittiert“ und „nicht kompromittiert“, in dem womöglich nur ein Teil der Dateien mit Malware infiziert ist.