{"id":99679,"date":"2021-04-07T10:22:44","date_gmt":"2021-04-07T08:22:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php"},"modified":"2021-04-07T10:22:44","modified_gmt":"2021-04-07T08:22:44","slug":"otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","title":{"rendered":"Bericht \u00fcber die Kompromittierung des Git-Repositories und der Benutzerdatenbank des PHP-Projekts","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die ersten Ergebnisse der Untersuchung des Vorfalls sind ver\u00f6ffentlicht worden. Dabei wurden zwei schadhafte Commits mit einem Backdoor im Git-Repository des PHP-Projekts entdeckt, die durch eine spezielle User-Agent-Headeranfrage aktiviert werden konnten. Bei der Analyse der Aktivit\u00e4ten der Angreifer wurde festgestellt, dass der Server git.php.net, auf dem das Git-Repository gehostet wurde, nicht gehackt wurde, jedoch die Datenbank mit den Konten der Projektentwickler kompromittiert wurde. <\/p>\n
Es ist nicht auszuschlie\u00dfen, dass die Angreifer die Benutzerdatenbank, die in der Datenbank auf dem Server master.php.net gespeichert war, heruntergeladen haben. Die Inhalte von master.php.net wurden bereits auf den neuen Server main.php.net \u00fcbertragen, der von Grund auf neu eingerichtet wurde. Alle von den Entwicklern verwendeten Passw\u00f6rter f\u00fcr den Zugang zur Infrastruktur von php.net wurden zur\u00fcckgesetzt, und der Prozess zur \u00c4nderung dieser Passw\u00f6rter wurde mit einem speziellen Formular zur Passwortwiederherstellung initiiert. Die Repositories git.php.net und svn.php.net sind weiterhin im Nur-Lese-Modus verf\u00fcgbar (die Entwicklung wurde auf GitHub verlagert). <\/p>\n
Nach der Entdeckung des ersten sch\u00e4dlichen Commits, der \u00fcber das Konto von Rasmus Lerdorf, dem Gr\u00fcnder von PHP, vorgenommen wurde, wurde die Vermutung ge\u00e4u\u00dfert, dass sein Konto gehackt wurde. Nikita Popov, einer der Hauptentwickler von PHP, machte daraufhin einen R\u00fcckschritt und sperrte die Commit-Rechte f\u00fcr das betroffene Konto. Nach einiger Zeit wurde jedoch klar, dass diese Sperrung keinen Sinn machte, da ohne die Verifizierung der Commits \u00fcber digitale Signaturen jeder Teilnehmer mit Zugriff auf das php-src-Repository \u00c4nderungen vornehmen konnte, indem er einen fiktiven Autorennamen einf\u00fcgte. <\/p>\n
Daraufhin sendeten die Angreifer einen sch\u00e4dlichen Commit im Namen von Nikita selbst. Durch die Analyse der Protokolle des Dienstes gitolite, der zur Verwaltung des Zugangs zu den Repositories verwendet wird, wurde ein Versuch unternommen, den Teilnehmer zu identifizieren, der tats\u00e4chlich die \u00c4nderungen vorgenommen hat. Trotz der aktivierten Protokollierung aller Commits gab es f\u00fcr zwei sch\u00e4dliche \u00c4nderungen keine Eintr\u00e4ge im Protokoll. Es wurde offensichtlich, dass eine Kompromittierung der Infrastruktur vorlag, da die Commits direkt hinzugef\u00fcgt wurden, um die Verbindung \u00fcber gitolite zu umgehen. <\/p>\n