{"id":99679,"date":"2021-04-07T10:22:44","date_gmt":"2021-04-07T08:22:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php"},"modified":"2021-04-07T10:22:44","modified_gmt":"2021-04-07T08:22:44","slug":"otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","title":{"rendered":"Report on the compromise of the git repository and the user database of the PHP project","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De f\u00f8rste resultater af analysen af h\u00e6ndelsen, der involverer opdagelsen af to ondsindede commits med en backdoor i Git-repositoriet for PHP-projektet, er offentliggjort. Det blev konstateret, at serveren git.php.net, hvor git-repositoriet var placeret, ikke var blevet kompromitteret, men at databasen med udviklernes kontooplysninger var blevet kompromitteret, som blev aktiveret ved at sende en anmodning med en specielt formateret User Agent-header. <\/p>\n
Det kan ikke udelukkes, at de ondsindede akt\u00f8rer har v\u00e6ret i stand til at downloade brugerbasen, der var opbevaret i en database p\u00e5 serveren master.php.net. Indholdet af master.php.net er allerede blevet flyttet til den nye server main.php.net, som er blevet oprettet fra bunden. Alle adgangskoder til udviklerne, der blev anvendt til at f\u00e5 adgang til php.net-infrastrukturen, er blevet nulstillet, og processen med at \u00e6ndre dem er startet via en speciel formular til nulstilling af adgangskode. Repositorierne git.php.net og svn.php.net er stadig tilg\u00e6ngelige i skrivebeskyttet tilstand (udviklingen er flyttet til GitHub). <\/p>\n
Efter opdagelsen af den f\u00f8rste ondsindede commit, som blev udf\u00f8rt gennem kontoen til Rasmus Lerdorf, grundl\u00e6ggeren af PHP, blev det antaget, at hans konto var blevet hacket, og Nikita Popov, en af de centrale udviklere af PHP, rullede \u00e6ndringerne tilbage og blokerede commit-rettighederne for den problematiske konto. Efter noget tid blev det klart, at blokeringen ikke havde nogen mening, da ingen digital signaturverifikation for commits tillod enhver deltager med adgang til php-src-repositoriet at foretage \u00e6ndringer under et falsk forfatternavn. <\/p>\n
Herefter sendte de ondsindede akt\u00f8rer en ondsindet commit i navnet p\u00e5 Nikita selv. Gennem analysen af logfilerne fra gitolite-tjenesten, der anvendes til at organisere adgangen til repositorierne, blev der gjort et fors\u00f8g p\u00e5 at identificere den deltager, der faktisk havde foretaget \u00e6ndringerne. P\u00e5 trods af at alle commits blev logget, var der ingen optegnelser for de to ondsindede \u00e6ndringer i loggen. Det blev klart, at der var tale om en kompromittering af infrastrukturen, da commits var tilf\u00f8jet direkte, omg\u00e5et forbindelsen via gitolite. <\/p>\n