Les premiers r\u00e9sultats de l'analyse de l'incident concernant la d\u00e9tection de deux commits malveillants avec un backdoor dans le d\u00e9p\u00f4t Git du projet PHP ont \u00e9t\u00e9 publi\u00e9s. Lors de l'examen des traces de l'activit\u00e9 des attaquants, il a \u00e9t\u00e9 conclu que le serveur git.php.net sur lequel le d\u00e9p\u00f4t Git \u00e9tait h\u00e9berg\u00e9 n'avait pas \u00e9t\u00e9 pirat\u00e9, mais que la base de donn\u00e9es contenant les comptes des d\u00e9veloppeurs du projet avait \u00e9t\u00e9 compromise. <\/p>\n
Il n'est pas exclu que les cybercriminels aient r\u00e9ussi \u00e0 t\u00e9l\u00e9charger la base d'utilisateurs, qui \u00e9tait stock\u00e9e dans la base de donn\u00e9es sur le serveur master.php.net. Le contenu de master.php.net a d\u00e9j\u00e0 \u00e9t\u00e9 transf\u00e9r\u00e9 vers le nouveau serveur main.php.net, install\u00e9 depuis z\u00e9ro. Tous les mots de passe des d\u00e9veloppeurs utilis\u00e9s pour acc\u00e9der \u00e0 l'infrastructure php.net ont \u00e9t\u00e9 r\u00e9initialis\u00e9s et le processus de changement de mot de passe a \u00e9t\u00e9 initi\u00e9 via un formulaire de r\u00e9cup\u00e9ration sp\u00e9cifique. Les d\u00e9p\u00f4ts git.php.net et svn.php.net restent accessibles en mode lecture seule (le d\u00e9veloppement a \u00e9t\u00e9 transf\u00e9r\u00e9 sur GitHub). <\/p>\n
Apr\u00e8s la d\u00e9couverte du premier commit malveillant effectu\u00e9 par le biais du compte de Rasmus Lerdorf, fondateur de PHP, il a \u00e9t\u00e9 suppos\u00e9 que son compte avait \u00e9t\u00e9 pirat\u00e9 et que Nikita Popov, l'un des d\u00e9veloppeurs cl\u00e9s de PHP, avait annul\u00e9 les modifications et bloqu\u00e9 les droits de commit pour le compte probl\u00e9matique. Apr\u00e8s un certain temps, il a \u00e9t\u00e9 compris que le blocage n'avait pas de sens, car sans la v\u00e9rification des commits par une signature num\u00e9rique, tout participant ayant acc\u00e8s au d\u00e9p\u00f4t php-src pouvait apporter des modifications en utilisant un faux nom d'auteur. <\/p>\n
Les attaquants ont ensuite envoy\u00e9 un commit malveillant au nom de Nikita lui-m\u00eame. En analysant les journaux du service gitolite, utilis\u00e9 pour g\u00e9rer l'acc\u00e8s aux d\u00e9p\u00f4ts, une tentative a \u00e9t\u00e9 faite pour identifier le participant qui a r\u00e9ellement effectu\u00e9 les modifications. Malgr\u00e9 l'enregistrement de tous les commits, il n'y avait pas d'entr\u00e9es dans le journal pour les deux modifications malveillantes. Il est devenu \u00e9vident qu'il y avait une compromission de l'infrastructure, car les commits ont \u00e9t\u00e9 ajout\u00e9s directement, contournant l'acc\u00e8s via gitolite. <\/p>\n
Le serveur git.php.net a \u00e9t\u00e9 rapidement d\u00e9connect\u00e9 et le d\u00e9p\u00f4t principal a \u00e9t\u00e9 transf\u00e9r\u00e9 sur GitHub. Dans la pr\u00e9cipitation, il a \u00e9t\u00e9 oubli\u00e9 que, pour acc\u00e9der au d\u00e9p\u00f4t, en plus de SSH utilisant gitolite, il y avait une autre m\u00e9thode d'entr\u00e9e permettant d'envoyer des commits via HTTPS. Dans ce cas, le backend git-http-backend \u00e9tait utilis\u00e9 pour interagir avec Git, et l'authentification \u00e9tait r\u00e9alis\u00e9e par le serveur HTTP Apache2, qui v\u00e9rifiait les droits d'acc\u00e8s en consultant la base de donn\u00e9es h\u00e9berg\u00e9e dans le SGBD sur le serveur<\/a> master.php.net. L'acc\u00e8s \u00e9tait possible non seulement par des cl\u00e9s, mais aussi par un mot de passe classique. L'analyse des journaux du serveur HTTP a confirm\u00e9 que des modifications malveillantes avaient \u00e9t\u00e9 ajout\u00e9es via HTTPS. <\/p>\n L'examen des journaux a r\u00e9v\u00e9l\u00e9 que les attaquants ne s'\u00e9taient pas connect\u00e9s du premier coup, mais avaient d'abord essay\u00e9 de deviner le nom du compte, puis apr\u00e8s l'identification, ils ont r\u00e9ussi du premier coup, c'est-\u00e0-dire qu'ils connaissaient d'avance les mots de passe de Rasmus et Nikita, mais pas leurs identifiants. Si les attaquants ont pu acc\u00e9der au SGBD, on ne comprend pas pourquoi ils n'ont pas imm\u00e9diatement utilis\u00e9 l'identifiant correct y figurant. Cet \u00e9cart n'a pas encore re\u00e7u d'explication fiable. Le piratage de master.php.net est consid\u00e9r\u00e9 comme le sc\u00e9nario le plus probable, car sur ce dernier le serveur<\/a> un code tr\u00e8s ancien et un syst\u00e8me d'exploitation obsol\u00e8te ont \u00e9t\u00e9 utilis\u00e9s, qui n'avaient pas \u00e9t\u00e9 mis \u00e0 jour depuis longtemps et pr\u00e9sentaient des vuln\u00e9rabilit\u00e9s non corrig\u00e9es. <\/p>\n Parmi les mesures prises, on note la r\u00e9installation de l'environnement du serveur master.php.net et la mise \u00e0 jour des scripts vers la nouvelle version PHP 8. Le code pour travailler avec le SGBD a \u00e9t\u00e9 retravaill\u00e9 pour utiliser des requ\u00eates param\u00e9tr\u00e9es, compliquant l'injection de code SQL. Pour le stockage des hachages de mots de passe dans la base de donn\u00e9es, l'algorithme bcrypt a \u00e9t\u00e9 utilis\u00e9 (auparavant, les mots de passe \u00e9taient stock\u00e9s avec un hachage MD5 peu fiable). Les mots de passe existants ont \u00e9t\u00e9 r\u00e9initialis\u00e9s et il a \u00e9t\u00e9 propos\u00e9 d'\u00e9tablir un nouveau mot de passe via le formulaire de r\u00e9cup\u00e9ration de mot de passe. Comme l'acc\u00e8s aux d\u00e9p\u00f4ts git.php.net et svn.php.net via HTTPS \u00e9tait li\u00e9 aux hachages MD5, il a \u00e9t\u00e9 d\u00e9cid\u00e9 de laisser git.php.net et svn.php.net en mode lecture seule, et de transf\u00e9rer tous les d\u00e9p\u00f4ts restants des extensions PECL vers GitHub, \u00e0 l'instar du d\u00e9p\u00f4t principal de PHP. \u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u043f\u0435\u0440\u0432\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0432 Git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 PHP \u0434\u0432\u0443\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043c\u0438\u0442\u043e\u0432 \u0441 \u0431\u044d\u043a\u0434\u043e\u0440\u043e\u043c, \u0430\u043a\u0442\u0438\u0432\u0438\u0440\u0443\u0435\u043c\u044b\u043c \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c User Agent. \u0412 \u0445\u043e\u0434\u0435 \u0438\u0437\u0443\u0447\u0435\u043d\u0438\u044f \u0441\u043b\u0435\u0434\u043e\u0432 \u0434\u0435\u044f\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0445 \u0431\u044b\u043b \u0441\u0434\u0435\u043b\u0430\u043d \u0432\u044b\u0432\u043e\u0434, \u0447\u0442\u043e \u043d\u0435\u043f\u043e\u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0435\u043d\u043d\u043e \u0441\u0435\u0440\u0432\u0435\u0440 git.php.net, \u043d\u0430 \u043a\u043e\u0442\u043e\u0440\u043e\u043c \u0431\u044b\u043b \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0439 \u043d\u0435 \u0431\u044b\u043b \u0432\u0437\u043b\u043e\u043c\u0430\u043d, \u043d\u043e \u0431\u044b\u043b\u0430 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u0431\u0430\u0437\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u0441 \u0443\u0447\u0451\u0442\u043d\u044b\u043c\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-99679","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Rapport sur la compromission du d\u00e9p\u00f4t git et de la base d'utilisateurs du projet PHP | ProHoster","description":"Les premiers r\u00e9sultats de l'analyse de l'incident li\u00e9 \u00e0 la d\u00e9couverte de deux commits malveillants avec un backdoor dans le d\u00e9p\u00f4t Git du projet PHP, activ\u00e9s par l'envoi d'une requ\u00eate avec un en-t\u00eate sp\u00e9cialement format\u00e9, ont \u00e9t\u00e9 publi\u00e9s.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041e\u0442\u0447\u0451\u0442 \u043e \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438 git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f \u0438 \u0431\u0430\u0437\u044b \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 PHP | ProHoster","og:description":"\u041e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043d\u044b \u043f\u0435\u0440\u0432\u044b\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0440\u0430\u0437\u0431\u043e\u0440\u0430 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430, \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u043e\u0433\u043e \u0441 \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0432 Git-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 PHP \u0434\u0432\u0443\u0445 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043c\u0438\u0442\u043e\u0432 \u0441 \u0431\u044d\u043a\u0434\u043e\u0440\u043e\u043c, \u0430\u043a\u0442\u0438\u0432\u0438\u0440\u0443\u0435\u043c\u044b\u043c \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u043e\u043c.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-04-07T08:22:44+00:00","article:modified_time":"2021-04-07T08:22:44+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"99679","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-04-07 09:53:42","updated":"2026-02-09 21:39:38","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/99679","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=99679"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/99679\/revisions"}],"predecessor-version":[{"id":159941,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/99679\/revisions\/159941"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=99679"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=99679"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=99679"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"