Открити са злонамерени промени в Git хранилището на PHP проекта

Разработчиците на проекта PHP предупредиха за компрометирането на Git хранилището на проекта и откриването на два злонамерени ангажимента, добавени към хранилището на php-src на 28 март от името на Расмус Лердорф, основателят на PHP, и Никита Попов, един от ключови разработчици на PHP.

Тъй като няма увереност в надеждността на сървъра, на който се хоства хранилището на Git, разработчиците решиха, че поддържането на инфраструктурата на Git самостоятелно създава допълнителни рискове за сигурността и преместиха референтното хранилище на платформата GitHub, която се предлага да се използва като основен. Всички промени вече трябва да се изпращат до GitHub, а не до git.php.net, включително при разработване, вече можете да използвате уеб интерфейса на GitHub.

В първия злонамерен комит, под прикритието на коригиране на правописна грешка във файла ext/zlib/zlib.c, беше направена промяна, която ще изпълни PHP кода, предаден в HTTP заглавката на потребителския агент, ако съдържанието започва с думата „zerodium ". След като разработчиците забелязаха злонамерената промяна и я отмениха, в хранилището се появи втори комит, който отмени действието на PHP разработчиците да отмени злонамерената промяна.

Добавеният код съдържа реда „REMOVETHIS: продаден на zerodium, средата на 2017 г.“, който може да подсказва, че от 2017 г. кодът съдържа друга, добре замаскирана, злонамерена промяна или некоригирана уязвимост, продадена на Zerodium, компания, която купува 0-дневен уязвимости (Zerodium отговори, че не е закупил информация за уязвимостта на PHP).

Към момента няма подробна информация за инцидента; само се предполага, че промените са добавени в резултат на хакване на сървъра git.php.net, а не на компрометиране на отделни акаунти на разработчици. Започна анализът на хранилището за наличие на други злонамерени промени в допълнение към идентифицираните проблеми. Всеки е поканен да прегледа; ако бъдат открити подозрителни промени, трябва да изпратите информация на [имейл защитен].

По отношение на прехода към GitHub, за да получат достъп за запис до новото хранилище, участниците в разработката трябва да са част от PHP организацията. Тези, които не са посочени като PHP разработчици в GitHub, трябва да се свържат с Никита Попов по имейл [имейл защитен]. За да добавите, задължително изискване е да активирате двуфакторно удостоверяване. След като получите съответните права за промяна на хранилището, просто изпълнете командата „git remote set-url origin [имейл защитен]:php/php-src.git". Освен това се разглежда въпросът за преминаване към задължително сертифициране на ангажименти с цифров подпис на разработчика. Предлага се също да се забрани директното добавяне на промени, които не са преминали предварителен преглед.

Източник: opennet.ru