{"id":115126,"date":"2024-04-17T14:30:08","date_gmt":"2024-04-17T12:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz"},"modified":"2024-04-17T14:30:08","modified_gmt":"2024-04-17T12:30:08","slug":"popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","title":{"rendered":"Fors\u00f8g p\u00e5 at opn\u00e5 kontrol over open source-projekter, ligesom tilf\u00e6ldet med pakken xz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
OpenSSF (Open Source Security Foundation), som er oprettet under Linux Foundation for at forbedre sikkerheden i open source-software, har advaret samfundet om, at der er blevet opdaget aktivitet, der er relateret til fors\u00f8g p\u00e5 at f\u00e5 kontrol over popul\u00e6re open source-projekter. Dette minder om handlingerne fra angribere, der forberedte sig p\u00e5 at inds\u00e6tte en bagd\u00f8r i projektet xz. P\u00e5 samme m\u00e5de som angrebet p\u00e5 xz fors\u00f8gte tvivlsomme personer, der tidligere ikke var dybt involveret i udviklingen, at bruge metoder til social engineering for at n\u00e5 deres m\u00e5l. <\/p>\n
Angriberne indgik i korrespondance med medlemmer af bestyrelsen for OpenJS Foundation, som fungerer som en neutral platform for samarbejdsudvikling af open source JavaScript-projekter som Node.js, jQuery, Appium, Dojo, PEP, Mocha og webpack. I korrespondancen, hvor flere eksterne udviklere med en tvivlsom historie inden for open source-udvikling deltog, blev der gjort fors\u00f8g p\u00e5 at overbevise ledelsen om n\u00f8dvendigheden af at opdatere et af de popul\u00e6re JavaScript-projekter, der er kurateret af OpenJS. <\/p>\n
Opdateringen blev begrundet med behovet for at tilf\u00f8je \"beskyttelse mod enhver kritisk s\u00e5rbarhed\". Der blev dog ikke givet nogen detaljer om arten af s\u00e5rbarhederne. For at implementere \u00e6ndringerne foreslog den mist\u00e6nkelige udvikler at inkludere sig selv blandt de, der ledsager projektet, hvor han tidligere kun havde deltaget i mindre omfang. Derudover er der identificeret lignende mist\u00e6nkelige scenarier for p\u00e5tvungne koder i to andre popul\u00e6re JavaScript-projekter, der ikke er relateret til OpenJS-organisationen. Det antages, at disse tilf\u00e6lde ikke er isolerede, og dem, der ledsager \u00e5bne projekter, b\u00f8r forblive \u00e5rv\u00e5gne, n\u00e5r de modtager kode og godkender nye udviklere. <\/p>\n
Blandt tegnene, der kan indikere skadelig aktivitet, n\u00e6vnes det, at ukendte medlemmer af f\u00e6llesskabet kan udvise en venlig, men samtidig aggressiv og insisterende adf\u00e6rd over for projektes tilsynsf\u00f8rende eller ledere for at fremme deres kode eller tilbyde tilsynsstatus. Der b\u00f8r ogs\u00e5 rettes opm\u00e6rksomhed mod dannelsen af st\u00f8ttegrupper omkring de promoverede id\u00e9er, dannet af opdigtede personer, der tidligere ikke har deltaget i udviklingen eller som for nylig er blevet en del af f\u00e6llesskabet. <\/p>\n
N\u00e5r der modtages \u00e6ndringer, skal man se det som tegn p\u00e5 potentielt skadelig adf\u00e6rd, n\u00e5r der fors\u00f8ges at inkludere bin\u00e6re data i anmodninger om sammenl\u00e6gning (f.eks. i xz blev en bagd\u00f8r overf\u00f8rt i arkiver til test af dekompressoren) eller forvirrende eller sv\u00e6rt forst\u00e5elig kode. Der b\u00f8r v\u00e6re opm\u00e6rksomhed p\u00e5 fors\u00f8g p\u00e5 at foresl\u00e5 \u00e6ndringer, der i mindre grad neds\u00e6tter sikkerheden, som sendes for at vurdere f\u00e6llesskabets reaktion og kontrollere, om der er nogen, der overv\u00e5ger \u00e6ndringer (f.eks. i xz blev funktionen Safe_fprintf erstattet med fprintf). Der b\u00f8r ogs\u00e5 v\u00e6re mistanke om us\u00e6dvanlige \u00e6ndringer af kompilering, bygning og udrulning af projektet, involvering af tredjeparts artefakter, og at der skabes en f\u00f8lelse af hast med hensyn til \u00e6ndringernes vedtagelse. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"