Bösartige Änderungen im Git-Repository des PHP-Projekts wurden festgestellt.

Die Entwickler des PHP-Projekts haben vor der Kompromittierung des Git-Repositories des Projekts gewarnt und zwei schädliche Commits entdeckt, die am 28. März im Repository php-src im Namen von Rasmus Lerdorf, dem Gründer von PHP, und Nikita Popov, einem der Hauptentwickler von PHP, hinzugefügt wurden.

Da es keine Zuverlässigkeit des Servers gibt, auf dem das Git-Repository gehostet wurde, haben die Entwickler beschlossen, dass die eigene Aufrechterhaltung der Git-Infrastruktur zusätzliche Sicherheitsrisiken mit sich bringt, und haben das Referenz-Repository auf die Plattform GitHub übertragen, die als primäre Plattform genutzt werden soll. Alle Änderungen sollten nun auf GitHub und nicht auf git.php.net gesendet werden, einschließlich der Entwicklung, bei der jetzt auch die Web-Oberfläche von GitHub verwendet werden kann.

Im ersten schädlichen Commit wurde unter dem Vorwand einer Korrektur eines Tippfehlers in der Datei ext/zlib/zlib.c eine Änderung vorgenommen, die PHP-Code ausführt, der im HTTP-Header User Agent übermittelt wird, wenn der Inhalt mit dem Wort „zerodium“ beginnt. Nachdem die Entwickler die schädliche Änderung bemerkt und rückgängig gemacht hatten, erschien im Repository ein zweiter Commit, der die Maßnahmen der PHP-Entwickler rückgängig machte und die schädliche Änderung wiederherstellte.

Im hinzugefügten Code befindet sich die Zeile „REMOVETHIS: sold to zerodium, mid 2017“, die darauf hindeuten könnte, dass seit 2017 eine andere, qualitativ gut getarnte, schädliche Änderung oder eine unbehobene Schwachstelle im Code enthalten ist, die an das Unternehmen Zerodium verkauft wurde, das sich mit dem Erwerb von 0-Day-Schwachstellen beschäftigt (das Unternehmen Zerodium hat geantwortet, dass es keine Informationen über eine Schwachstelle in PHP erworben hat).

Derzeit gibt es keine detaillierten Informationen zu dem Vorfall, es wird lediglich vermutet, dass die Änderungen aufgrund eines Hacks von git.php.net und nicht aufgrund der Kompromittierung einzelner Entwicklerkonten hinzugefügt wurden. Eine Analyse des Repositories auf andere schädliche Änderungen neben den identifizierten Problemen hat begonnen. Jeder ist eingeladen, Rezensionen vorzunehmen, und bei Verdacht auf verdächtige Änderungen sollte eine Mitteilung an security@php.net gesendet werden. Server Die Analyse des Repositories auf andere schädliche Änderungen neben den identifizierten Problemen hat begonnen. Jeder ist eingeladen, Rezensionen vorzunehmen, und bei Verdacht auf verdächtige Änderungen sollte eine Mitteilung an security@php.net gesendet werden.

Was den Umstieg auf GitHub angeht, müssen die Entwickler, um Schreibzugriff auf das neue Repository zu erhalten, der PHP-Organisation beitreten. Wer nicht zu den PHP-Entwicklern auf GitHub gehört, sollte sich per E-Mail an Nikita Popov unter nikic@php.net wenden. Eine Voraussetzung für die Aufnahme ist die Aktivierung der Zwei-Faktor-Authentifizierung. Nach Erhalt der entsprechenden Rechte genügt es, den Befehl „git remote set-url origin git@github.com:php/php-src.git“ auszuführen, um das Repository zu wechseln. Es wird zusätzlich erwogen, die Verpflichtung zur digitalen Signatur von Commits einzuführen. Zudem wird vorgeschlagen, direkte Änderungen, die kein Vorab-Review durchlaufen haben, zu untersagen.

Quelle: opennet.ru