Im Git-Repository des PHP-Projekts wurden schädliche Änderungen festgestellt.

Die Entwickler des PHP-Projekts haben vor der Kompromittierung des Git-Repositorys gewarnt und zwei schädliche Commits entdeckt, die am 28. März im Repository php-src im Namen von Rasmus Lerdorf, dem Gründer von PHP, und Nikita Popov, einem der Hauptentwickler von PHP, hinzugefügt wurden.

Da keine Sicherheit bezüglich des Servers besteht, auf dem das Git-Repository gehostet wurde, haben die Entwickler beschlossen, dass die eigene Verwaltung der Git-Infrastruktur zusätzliche Sicherheitsrisiken birgt. Sie haben das Referenz-Repository auf die Plattform GitHub übertragen, die nun als primärer Host genutzt wird. Alle Änderungen sind ab sofort an GitHub zu senden, nicht an git.php.net. Bei der Entwicklung kann nun auch die Web-Oberfläche von GitHub verwendet werden.

Im ersten schädlichen Commit, der als Korrektur eines Tippfehlers in der Datei ext/zlib/zlib.c getarnt war, wurde eine Änderung vorgenommen, die PHP-Code ausführt, der im HTTP-Header User Agent übermittelt wird, sofern der Inhalt mit dem Wort "zerodium" beginnt. Nachdem die Entwickler die schädliche Änderung bemerkt hatten und sie zurücksetzten, erschien ein zweiter Commit im Repository, der die Rücksetzung der PHP-Entwickler annullierte und die schädliche Änderung wiederherstellte.

Im hinzugefügten Code gibt es die Zeile "REMOVETHIS: sold to zerodium, mid 2017", die darauf hindeuten könnte, dass seit 2017 eine andere, qualitativ besser getarnte schädliche Änderung oder eine ungepatchte Schwachstelle im Code vorhanden ist, die an das Unternehmen Zerodium verkauft wurde, das sich auf den Kauf von 0-Day-Schwachstellen spezialisiert hat (Zerodium gab an, dass sie keine Informationen über Schwachstellen in PHP erworben haben).

Derzeit gibt es noch keine detaillierten Informationen zu dem Vorfall; es wird lediglich vermutet, dass die Änderungen im Rahmen eines Hacks hinzugefügt wurden. Server git.php.net, und nicht die Kompromittierung einzelner Entwicklerkonten. Eine Analyse des Repositories auf andere böswillige Änderungen neben den identifizierten Problemen hat begonnen. Alle Interessierten sind eingeladen, die Bewertung vorzunehmen; bei Verdacht auf verdächtige Änderungen sollte die Information an security@php.net gesendet werden.

Was den Wechsel zu GitHub betrifft, müssen die Entwickler, um Schreibzugriff auf das neue Repository zu erhalten, Teil der PHP-Organisation werden. Wer nicht zu den Entwicklern von PHP auf GitHub gehört, sollte sich per E-Mail an Nikita Popov unter nikic@php.net wenden. Eine zwingende Voraussetzung für die Hinzufügung ist die Aktivierung der Zwei-Faktor-Authentifizierung. Nach Erhalt der entsprechenden Berechtigungen genügt es, den Befehl „git remote set-url origin git@github.com:php/php-src.git“ auszuführen. Zudem wird die Möglichkeit erörtert, die digitale Signatur des Entwicklers für Commits verbindlich zu machen. Es wird auch vorgeschlagen, das direkte Hinzufügen von Änderungen, die nicht vorher überprüft wurden, zu untersagen.

Quelle: opennet.ru