Π’ Git-Ρ€Π΅ΠΏΠΎΠ·ΠΈΡ‚ΠΎΡ€ΠΈΠΈ ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π° PHP выявлСны врСдоносныС измСнСния

Π Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠΈ ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π° PHP ΠΏΡ€Π΅Π΄ΡƒΠΏΡ€Π΅Π΄ΠΈΠ»ΠΈ ΠΎ ΠΊΠΎΠΌΠΏΡ€ΠΎΠΌΠ΅Ρ‚Π°Ρ†ΠΈΠΈ Git-рСпозитория ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π° ΠΈ ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½ΠΈΠΈ Π΄Π²ΡƒΡ… врСдоносных ΠΊΠΎΠΌΠΌΠΈΡ‚ΠΎΠ², Π΄ΠΎΠ±Π°Π²Π»Π΅Π½Π½Ρ‹Ρ… 28 ΠΌΠ°Ρ€Ρ‚Π° Π² Ρ€Π΅ΠΏΠΎΠ·ΠΈΡ‚ΠΎΡ€ΠΈΠΉ php-src ΠΎΡ‚ ΠΈΠΌΠ΅Π½ΠΈ Расмуса Π›Π΅Ρ€Π΄ΠΎΡ€Ρ„Π°, основатСля PHP, ΠΈ Никиты Попова, ΠΎΠ΄Π½ΠΎΠ³ΠΎ ΠΈΠ· ΠΊΠ»ΡŽΡ‡Π΅Π²Ρ‹Ρ… Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠΎΠ² PHP.

Π’Π°ΠΊ ΠΊΠ°ΠΊ Π½Π΅Ρ‚ увСрСнности Π² надёТности сСрвСра, Π½Π° ΠΊΠΎΡ‚ΠΎΡ€ΠΎΠΌ Π±Ρ‹Π» Ρ€Π°Π·ΠΌΠ΅Ρ‰Ρ‘Π½ Git-Ρ€Π΅ΠΏΠΎΠ·ΠΈΡ‚ΠΎΡ€ΠΈΠΉ, Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠΈ Ρ€Π΅ΡˆΠΈΠ»ΠΈ, Ρ‡Ρ‚ΠΎ ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠ°Π½ΠΈΠ΅ своими силами Git-инфраструктуры создаёт Π΄ΠΎΠΏΠΎΠ»Π½ΠΈΡ‚Π΅Π»ΡŒΠ½Ρ‹Π΅ риски бСзопасности ΠΈ пСрСнСсли эталонный Ρ€Π΅ΠΏΠΎΠ·ΠΈΡ‚ΠΎΡ€ΠΈΠΉ Π½Π° ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΡƒ GitHub, ΠΊΠΎΡ‚ΠΎΡ€ΡƒΡŽ прСдлагаСтся ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚ΡŒ Π² качСствС ΠΏΠ΅Ρ€Π²ΠΈΡ‡Π½ΠΎΠΉ. ВсС измСнСния ΠΎΡ‚Π½Ρ‹Π½Π΅ слСдуСт ΠΎΡ‚ΠΏΡ€Π°Π²Π»ΡΡ‚ΡŒ Π½Π° GitHub, Π° Π½Π΅ Π½Π° git.php.net, Π² Ρ‚ΠΎΠΌ числС ΠΏΡ€ΠΈ Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚ΠΊΠ΅ Ρ‚Π΅ΠΏΠ΅Ρ€ΡŒ ΠΌΠΎΠΆΠ½ΠΎ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΠΎΠ²Π°Ρ‚ΡŒ web-интСрфСйс GitHub.

Π’ ΠΏΠ΅Ρ€Π²ΠΎΠΌ врСдоносном ΠΊΠΎΠΌΠΌΠΈΡ‚Π΅ ΠΏΠΎΠ΄ Π²ΠΈΠ΄ΠΎΠΌ исправлСния ΠΎΠΏΠ΅Ρ‡Π°Ρ‚ΠΊΠΈ Π² Ρ„Π°ΠΉΠ»Π΅ ext/zlib/zlib.c Π±Ρ‹Π»ΠΎ внСсСно ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅, Π·Π°ΠΏΡƒΡΠΊΠ°ΡŽΡ‰Π΅Π΅ PHP-ΠΊΠΎΠ΄, ΠΏΠ΅Ρ€Π΅Π΄Π°Π½Π½Ρ‹ΠΉ Π² HTTP-Π·Π°Π³ΠΎΠ»ΠΎΠ²ΠΊΠ΅ User Agent, Ссли содСрТимоС начинаСтся со слова «zerodium». ПослС Ρ‚ΠΎΠ³ΠΎ ΠΊΠ°ΠΊ Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠΈ Π·Π°ΠΌΠ΅Ρ‚ΠΈΠ»ΠΈ врСдоносноС ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ ΠΈ ΠΎΡ‚ΠΌΠ΅Π½ΠΈΠ»ΠΈ Π΅Π³ΠΎ, Π² Ρ€Π΅ΠΏΠΎΠ·ΠΈΡ‚ΠΎΡ€ΠΈΠΈ появился Π²Ρ‚ΠΎΡ€ΠΎΠΉ ΠΊΠΎΠΌΠΌΠΈΡ‚, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ отмСнял дСйствиС Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠΎΠ² PHP Π² Π²ΠΎΠ·Π²Ρ€Π°Ρ‰Π°Π» врСдоносноС ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅.

Π’ Π΄ΠΎΠ±Π°Π²Π»Π΅Π½Π½ΠΎΠΌ ΠΊΠΎΠ΄Π΅ присутствуСт строка «REMOVETHIS: sold to zerodium, mid 2017», которая ΠΌΠΎΠΆΠ΅Ρ‚ Π½Π°ΠΌΠ΅ΠΊΠ°Ρ‚ΡŒ, Ρ‡Ρ‚ΠΎ с 2017 Π³ΠΎΠ΄Π° Π² ΠΊΠΎΠ΄Π΅ находится Π΄Ρ€ΡƒΠ³ΠΎΠ΅, качСствСнно Π·Π°ΠΊΠ°ΠΌΡƒΡ„Π»ΠΈΡ€ΠΎΠ²Π°Π½Π½ΠΎΠ΅, врСдоносноС ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠ΅, ΠΈΠ»ΠΈ нСисправлСнная ΡƒΡΠ·Π²ΠΈΠΌΠΎΡΡ‚ΡŒ, проданная ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠΈ Zerodium, Π·Π°Π½ΠΈΠΌΠ°ΡŽΡ‰Π΅ΠΉΡΡ скупкой 0-day уязвимостСй (компания Zerodium ΠΎΡ‚Π²Π΅Ρ‚ΠΈΠ»Π°, Ρ‡Ρ‚ΠΎ Π½Π΅ ΠΏΠΎΠΊΡƒΠΏΠ°Π»Π° свСдСния ΠΎΠ± уязвимости Π² PHP).

Π’ настоящСС врСмя ΠΏΠΎΠΊΠ° Π½Π΅Ρ‚ Π΄Π΅Ρ‚Π°Π»ΡŒΠ½ΠΎΠΉ ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΈ ΠΎΠ± ΠΈΠ½Ρ†ΠΈΠ΄Π΅Π½Ρ‚Π΅, прСдполагаСтся лишь, Ρ‡Ρ‚ΠΎ измСнСния Π±Ρ‹Π»ΠΈ Π΄ΠΎΠ±Π°Π²Π»Π΅Π½Ρ‹ Π² Ρ€Π΅Π·ΡƒΠ»ΡŒΡ‚Π°Ρ‚Π΅ Π²Π·Π»ΠΎΠΌΠ° сСрвСра git.php.net, Π° Π½Π΅ ΠΊΠΎΠΌΠΏΡ€ΠΎΠΌΠ΅Ρ‚Π°Ρ†ΠΈΠΈ ΠΎΡ‚Π΄Π΅Π»ΡŒΠ½Ρ‹Ρ… ΡƒΡ‡Ρ‘Ρ‚Π½Ρ‹Ρ… записи Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠΎΠ². Начался Π°Π½Π°Π»ΠΈΠ· рСпозитория Π½Π° Π½Π°Π»ΠΈΡ‡ΠΈΠ΅ Π΄Ρ€ΡƒΠ³ΠΈΡ… врСдоносных ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠΉ ΠΏΠΎΠΌΠΈΠΌΠΎ выявлСнных ΠΏΡ€ΠΎΠ±Π»Π΅ΠΌ. К Ρ€Π΅Ρ†Π΅Π½Π·ΠΈΡ€ΠΎΠ²Π°Π½ΠΈΡŽ ΠΏΡ€ΠΈΠ³Π»Π°ΡˆΠ°ΡŽΡ‚ΡΡ всС ΠΆΠ΅Π»Π°ΡŽΡ‰ΠΈΠ΅, ΠΏΡ€ΠΈ ΠΎΠ±Π½Π°Ρ€ΡƒΠΆΠ΅Π½ΠΈΠΈ ΠΏΠΎΠ΄ΠΎΠ·Ρ€ΠΈΡ‚Π΅Π»ΡŒΠ½Ρ‹Ρ… ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠΉ слСдуСт ΠΎΡ‚ΠΏΡ€Π°Π²ΠΈΡ‚ΡŒ ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΡŽ Π½Π° [email protected].

Π§Ρ‚ΠΎ касаСтся ΠΏΠ΅Ρ€Π΅Ρ…ΠΎΠ΄Π° Π½Π° GitHub, Ρ‚ΠΎ для получСния доступа Π½Π° запись ΠΊ Π½ΠΎΠ²ΠΎΠΌΡƒ Ρ€Π΅ΠΏΠΎΠ·ΠΈΡ‚ΠΎΡ€ΠΈΡŽ участникам Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚ΠΊΠΈ Π½Π΅ΠΎΠ±Ρ…ΠΎΠ΄ΠΈΠΌΠΎ Π²ΠΎΠΉΡ‚ΠΈ Π² состав ΠΎΡ€Π³Π°Π½ΠΈΠ·Π°Ρ†ΠΈΠΈ PHP. Π’Π΅ΠΌ, ΠΊΡ‚ΠΎ Π½Π΅ Π²ΠΊΠ»ΡŽΡ‡Ρ‘Π½ Π² число Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠΎΠ² PHP Π½Π° GitHub, слСдуСт ΡΠ²ΡΠ·Π°Ρ‚ΡŒΡΡ с Никитой ΠŸΠΎΠΏΠΎΠ²Ρ‹ΠΌ ΠΏΠΎ email [email protected]. Для добавлСния ΠΎΠ±ΡΠ·Π°Ρ‚Π΅Π»ΡŒΠ½Ρ‹ΠΌ Ρ‚Ρ€Π΅Π±ΠΎΠ²Π°Π½ΠΈΠ΅ΠΌ являСтся Π²ΠΊΠ»ΡŽΡ‡Π΅Π½ΠΈΠ΅ Π΄Π²ΡƒΡ…Ρ„Π°ΠΊΡ‚ΠΎΡ€Π½ΠΎΠΉ Π°ΡƒΡ‚Π΅Π½Ρ‚ΠΈΡ„ΠΈΠΊΠ°Ρ†ΠΈΠΈ. ПослС получСния Π½Π°Π΄Π»Π΅ΠΆΠ°Ρ‰ΠΈΡ… ΠΏΡ€Π°Π² для смСны рСпозитория достаточно Π²Ρ‹ΠΏΠΎΠ»Π½ΠΈΡ‚ΡŒ ΠΊΠΎΠΌΠ°Π½Π΄Ρƒ «git remote set-url origin [email protected]:php/php-src.git». Π”ΠΎΠΏΠΎΠ»Π½ΠΈΡ‚Π΅Π»ΡŒΠ½ΠΎ рассматриваСтся вопрос ΠΎ ΠΏΠ΅Ρ€Π΅Ρ…ΠΎΠ΄Π΅ ΠΊ ΠΎΠ±ΡΠ·Π°Ρ‚Π΅Π»ΡŒΠ½ΠΎΠΌΡƒ Π·Π°Π²Π΅Ρ€Π΅Π½ΠΈΡŽ ΠΊΠΎΠΌΠΌΠΈΡ‚ΠΎΠ² Ρ†ΠΈΡ„Ρ€ΠΎΠ²ΠΎΠΉ подписью Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Ρ‡ΠΈΠΊΠ°. Π’Π°ΠΊΠΆΠ΅ прСдлагаСтся Π·Π°ΠΏΡ€Π΅Ρ‚ΠΈΡ‚ΡŒ прямоС Π΄ΠΎΠ±Π°Π²Π»Π΅Π½ΠΈΠ΅ ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠΉ, Π½Π΅ ΠΏΡ€ΠΎΡˆΠ΅Π΄ΡˆΠΈΡ… ΠΏΡ€Π΅Π΄Π²Π°Ρ€ΠΈΡ‚Π΅Π»ΡŒΠ½ΠΎΠ³ΠΎ рСцСнзирования.

Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: opennet.ru