В Git-репозитория на проекта PHP са открити злонамерени промени

Разработчиците на проекта PHP предупредиха за компрометиране на Git-репозитория на проекта и откритие на два злонамерени комита, добавени на 28 март в репозитория php-src от името на Расмус Лердорф, основателя на PHP, и Никита Попов, един от ключовите разработчици на PHP.

Тъй като няма увереност в надеждността на сървъра, на който е бил хостван Git-репозитория, разработчиците решиха, че поддържането на Git инфраструктурата от тяхна страна създава допълнителни рискове за безопасността и прехвърлиха еталонния репозиторий на платформата GitHub, която предлага да се използва като основна. Всички промени от тук нататък трябва да се изпращат на GitHub, а не на git.php.net, включително при разработката вече може да се използва уеб интерфейс на GitHub.

В първия злонамерен комит под предлог за корекция на печатна грешка в файла ext/zlib/zlib.c беше направена промяна, която задейства PHP код, предаден в HTTP заглавката User Agent, ако съдържанието започва с думата „zerodium“. След като разработчиците забелязаха злонамерената промяна и я отмениха, в репозитория се появи втори комит, който отмени действията на разработчиците на PHP и върна злонамерената промяна.

В добавения код присъства редът „REMOVETHIS: sold to zerodium, mid 2017“, който може да намеква, че от 2017 година в кода се съдържа друго, качествено замаскирано, злонамерено изменение или неизправена уязвимост, продадена на компанията Zerodium, занимаваща се с покупка на 0-day уязвимости (компанията Zerodium отговори, че не е закупила информация за уязвимост в PHP).

В момента все още няма подробна информация за инцидента, предполага се само, че промените са били добавени в резултат на хакване сървър git.php.net, а не компрометиране на отделни акаунти на разработчиците. Започна анализ на репозитория за наличие на други злонамерени промени освен установените проблеми. За рецензиране са поканени всички желаещи, при установяване на подозрителни промени моля изпратете информация на security@php.net.

Що се отнася до преминаването на GitHub, за да получат достъп до новия хранилище с права за запис, участниците в разработката трябва да станат част от организацията PHP. Тези, които не са част от разработчиците на PHP в GitHub, трябва да се свържат с Никита Попов на email nikic@php.net. Задължително условие е активирането на двуфакторна автентикация. След получаване на подходящите права, за смяна на хранилището е достатъчно да се изпълни командата „git remote set-url origin git@github.com:php/php-src.git“. Допълнително се разглежда въпросът за преминаването към задължително подписване на комитите с цифров подпис на разработчика. Също така се предлага да се забрани директното добавяне на промени, които не са преминали предварителен преглед.

Източник: opennet.ru