Udviklerne af PHP-projektet har advaret om kompromittering af Git-repositoriet og opdagelsen af to skadelige commits, der blev tilføjet den 28. marts i php-src-repositoriet i navnet fra Rasmus Lerdorf, grundlæggeren af PHP, og Nikita Popov, en af de nøgleudviklere af PHP.
Da der ikke er tillid til serverens pålidelighed, hvor Git-repositoriet var hostet, har udviklerne besluttet, at vedligeholdelse af Git-infrastrukturen som egen løsning skaber yderligere sikkerhedsrisici, og de har flyttet det officielle repositorium til GitHub, som nu anbefales som primær. Fremover bør alle ændringer sendes til GitHub og ikke til git.php.net, og udviklingen kan nu også foregå via GitHubs webgrænseflade.
I det første skadelige commit blev der i stedet for en rettelse af en tastefejl i filen ext/zlib/zlib.c indført en ændring, der kørte PHP-kode, som blev givet i HTTP-headeren User Agent, hvis indholdet begyndte med ordet "zerodium". Efter at udviklerne opdagede den skadelige ændring og annullerede den, blev der indført et andet commit i repoet, som annullerede PHP-udviklernes handlinger og genskabte den skadelige ændring.
Den tilføjede kode indeholder en linje "REMOVETHIS: sold to zerodium, mid 2017", som kan antyde, at der siden 2017 har været en anden, kvalitativt camoufleret, skadelig ændring eller en uopdaget sårbarhed solgt til Zerodium, et firma, der køber 0-dages sårbarheder (Zerodium har svaret, at de ikke har købt oplysninger om sårbarheder i PHP).
I øjeblikket er der ikke detaljerede oplysninger om hændelsen; det antages kun, at ændringerne blev tilføjet som følge af et hack. server git.php.net, og ikke kompromitteringen af individuelle udviklers kontoer. Der er påbegyndt en analyse af repositoriet for at finde andre skadelige ændringer ud over de identificerede problemer. Alle interesserede inviteres til at deltage i gennemgangen, og hvis der findes mistænkelige ændringer, skal oplysninger sendes til security@php.net.
Når det kommer til overgangen til GitHub, skal deltagerne i udviklingen have adgang til at skrive i det nye repository ved at blive en del af PHP Organisationen. De, der ikke er en del af PHP udviklerne på GitHub, bør kontakte Nikita Popov via e-mail nikic@php.net. En obligatorisk betingelse for at blive tilføjet er aktivering af to-faktor godkendelse. Når de relevante rettigheder er opnået, er det tilstrækkeligt at udføre kommandoen „git remote set-url origin git@github.com:php/php-src.git“ for at skifte repository. Der overvejes også et krav om, at commits skal bekræftes med udviklerens digitale signatur. Det foreslås også at forbyde direkte tilføjelse af ændringer, der ikke er blevet gennemgået på forhånd.
Kilde: opennet.ru
