В Git репозиторият на проекта PHP са открити злонамерени промени

Разработчиците на проекта PHP предупредиха за компрометиране на Git-репозитория на проекта и откритие на два зловредни комита, добавени на 28 март в репозитория php-src от името на Расмус Лердорф, основателя на PHP, и Никита Попов, един от ключовите разработчици на PHP.

Тъй като няма уверение в надеждността на сървъра, на който е хостван Git-репозиторият, разработчиците решиха, че поддържането на Git инфраструктурата сами носи допълнителни рискове за сигурността и преместиха основния репозиторий върху платформата GitHub, която се предлага да бъде използвана като основна. Всички промени оттук нататък следва да бъдат изпращани на GitHub, а не на git.php.net, включително при разработката вече може да се използва уеб интерфейсът на GitHub.

В първия зловреден комит под предлог, че е поправка на печатна грешка в файла ext/zlib/zlib.c, беше направено изменение, което изпълнява PHP код, предаден в HTTP заглавката User Agent, ако съдържанието започва със словото „zerodium“. След като разработчиците забелязаха зловредното изменение и го отмениха, в репозитория се появи втори комит, който отмени действията на разработчиците на PHP и върна зловредното изменение.

В добавения код присъства редът „REMOVETHIS: sold to zerodium, mid 2017“, който може да намеква, че от 2017 година в кода съществува друго, качествено маскирано, зловредно изменение или неизправена уязвимост, продадена на компанията Zerodium, която се занимава с покупката на 0-day уязвимости (компанията Zerodium отговори, че не е придобивала сведения за уязвимост в PHP).

В момента няма детайлна информация за инцидента, предполага се само, че измененията са били добавени в резултат на хакване на git.php.net, а не по компрометиране на отделни потребителски сметки на разработчиците. Започна анализ на репозитория за наличие на други зловредни изменения освен идентифицираните проблеми. К рецензиране се канят всички желаещи, при откритие на подозрителни изменения информацията следва да бъде изпратена на security@php.net. сървър git.php.net, а не компрометиране на отделни профили на разработчиците. Започна анализ на хранилището за наличие на други злонамерени промени освен установените проблеми. Всички желаещи са поканени да участват в рецензията; при откритие на съмнителни промени, моля изпратете информация на security@php.net.

Що се отнася до преминаването на GitHub, за да получат достъп до новия репозитории с права за запис, участниците в разработката трябва да станат част от организацията PHP. Тези, които не са част от разработчиците на PHP в GitHub, трябва да се свържат с Никита Попов по имейл nikic@php.net. Задължително изискване за добавяне е активирането на двуфакторна аутентификация. След получаване на съответните права, за да смените репозитория, просто изпълнете командата „git remote set-url origin git@github.com:php/php-src.git“. Освен това се обсъжда въпросът за задължителното заверяване на комитите с цифров подпис на разработчика. Също така се предлага да се забрани директното добавяне на промени, които не са минали предварителен преглед.

Източник: opennet.ru