Vývojáři projektu PHP varovali před kompromitací Gitového repozitáře projektu a objevili dvě škodlivé commity, které byly přidány 28. března do repozitáře php-src jménem Rasmuse Lerdorfa, zakladatele PHP, a Nikity Popova, jednoho z klíčových vývojářů PHP.
Jelikož není jistota v důvěryhodnosti serveru, na kterém byl Gitový repozitář umístěn, rozhodli se vývojáři, že udržování Gitové infrastruktury svépomocí představuje další bezpečnostní rizika, a přenesli referenční repozitář na platformu GitHub, kterou se doporučuje používat jako primární. Všechny změny by nyní měly být odesílány na GitHub, nikoli na git.php.net, včetně využití webového rozhraní GitHub při vývoji.
V prvním škodlivém commitu, přestrojeném za opravu překlepu v souboru ext/zlib/zlib.c, byla provedena změna, která spouští PHP kód zaslaný v HTTP hlavičce User Agent, pokud obsah začíná slovy "zerodium". Po tom, co si vývojáři všimli škodlivé změny a zrušili ji, v repozitáři se objevil druhý commit, který zrušil akci vývojářů PHP a vrátil škodlivou změnu.
V přidaném kódu se nachází řádek "REMOVETHIS: sold to zerodium, mid 2017", který může naznačovat, že od roku 2017 se v kódu nachází jiné, kvalitně zamaskované, škodlivé změny, nebo neopravená zranitelnost, prodaná společnosti Zerodium, která se zabývá výkupem zranitelností 0-day (společnost Zerodium odpověděla, že nepořizovala informace o zranitelnosti v PHP).
V současné době stále nejsou k dispozici podrobné informace o incidentu, předpokládá se pouze, že změny byly přidány v důsledku hacknutí git.php.net, nikoli kompromitace jednotlivých účtů vývojářů. Analýza repozitáře na přítomnost dalších škodlivých změn kromě zjištěných problémů již začala. K recenzování jsou zváni všichni zájemci, při nalezení podezřelých změn je nutné zaslat informace na security@php.net. serveru git.php.net, a nikoli k kompromitaci jednotlivých účtů vývojářů. Byla zahájena analýza repozitáře na přítomnost dalších škodlivých změn vedle zjištěných problémů. K recenzování jsou zváni všichni, při zjištění podezřelých změn je třeba zaslat informace na security@php.net.
Pokud jde o přechod na GitHub, pro získání přístupu k novému repozitáři potřebují vývojáři vstoupit do organizace PHP. Ti, kteří nejsou členy vývojářského týmu PHP na GitHubu, by se měli obrátit na Nikitu Popova na e-mail nikic@php.net. Podmínkou pro přístup je také aktivace dvoufaktorové autentizace. Po získání potřebných práv stačí provést příkaz „git remote set-url origin git@github.com:php/php-src.git“. Dále se zvažuje zavedení povinného podepisování commitů digitálním podpisem vývojáře. Také se navrhuje zakázat přímé přidávání změn, které neprošly předchozím posouzením.
Zdroj: opennet.ru
