PHP प्रोजेक्ट के Git रिपॉजिटरी में दुर्भावनापूर्ण परिवर्तन पाए गए

PHP प्रोजेक्ट के डेवलपर्स ने प्रोजेक्ट के Git रिपॉजिटरी के साथ समझौता होने और 28 मार्च को PHP के संस्थापक रासमस लेरडॉर्फ और निकिता पोपोव की ओर से php-src रिपॉजिटरी में जोड़े गए दो दुर्भावनापूर्ण कमिट की खोज के बारे में चेतावनी दी थी। PHP के प्रमुख डेवलपर।

चूँकि उस सर्वर की विश्वसनीयता पर कोई भरोसा नहीं है जिस पर Git रिपॉजिटरी होस्ट की गई थी, डेवलपर्स ने फैसला किया कि Git इंफ्रास्ट्रक्चर को अपने आप बनाए रखने से अतिरिक्त सुरक्षा जोखिम पैदा होते हैं और संदर्भ रिपॉजिटरी को GitHub प्लेटफ़ॉर्म पर ले जाया गया, जिसका उपयोग करने का प्रस्ताव है प्राथमिक के रूप में. सभी परिवर्तन अब GitHub को भेजे जाने चाहिए, न कि git.php.net पर, जिसमें विकास करते समय, आप अब GitHub वेब इंटरफ़ेस का उपयोग कर सकते हैं।

पहले दुर्भावनापूर्ण कमिट में, फ़ाइल ext/zlib/zlib.c में एक टाइपो को ठीक करने की आड़ में, एक बदलाव किया गया था जो उपयोगकर्ता एजेंट HTTP हेडर में पारित PHP कोड को चलाएगा यदि सामग्री "ज़ीरोडियम" शब्द से शुरू होती है ". डेवलपर्स द्वारा दुर्भावनापूर्ण परिवर्तन को नोटिस करने और उसे वापस करने के बाद, रिपॉजिटरी में एक दूसरा कमिट दिखाई दिया, जिसने दुर्भावनापूर्ण परिवर्तन को वापस करने के लिए PHP डेवलपर्स की कार्रवाई को वापस कर दिया।

जोड़े गए कोड में लाइन "REMOVETHIS: ज़ीरोडियम को बेची गई, 2017 के मध्य में" शामिल है, जो संकेत दे सकती है कि 2017 के बाद से कोड में एक और, अच्छी तरह से छिपा हुआ, दुर्भावनापूर्ण परिवर्तन, या ज़ीरोडियम को बेची गई एक असंशोधित भेद्यता शामिल है, जो एक कंपनी है जो 0-दिन खरीदती है कमजोरियाँ (ज़ेरोडियम ने जवाब दिया कि उसने PHP भेद्यता के बारे में जानकारी नहीं खरीदी)।

इस समय, घटना के बारे में कोई विस्तृत जानकारी नहीं है; यह केवल माना जाता है कि परिवर्तन git.php.net सर्वर की हैकिंग के परिणामस्वरूप जोड़े गए थे, न कि व्यक्तिगत डेवलपर खातों के समझौते के परिणामस्वरूप। पहचानी गई समस्याओं के अतिरिक्त अन्य दुर्भावनापूर्ण परिवर्तनों की उपस्थिति के लिए रिपॉजिटरी का विश्लेषण शुरू हो गया है। सभी को समीक्षा के लिए आमंत्रित किया जाता है; यदि संदिग्ध परिवर्तन पाए जाते हैं, तो आपको जानकारी भेजनी चाहिए [ईमेल संरक्षित].

GitHub में संक्रमण के संबंध में, नए रिपॉजिटरी तक लेखन पहुंच प्राप्त करने के लिए, विकास प्रतिभागियों को PHP संगठन का हिस्सा होना चाहिए। जो लोग GitHub पर PHP डेवलपर्स के रूप में सूचीबद्ध नहीं हैं, उन्हें ईमेल द्वारा निकिता पोपोव से संपर्क करना चाहिए [ईमेल संरक्षित]. जोड़ने के लिए, दो-कारक प्रमाणीकरण सक्षम करना एक अनिवार्य आवश्यकता है। रिपॉजिटरी को बदलने के लिए उचित अधिकार प्राप्त करने के बाद, बस "git रिमोट सेट-यूआरएल ओरिजिन" कमांड चलाएँ [ईमेल संरक्षित]:php/php-src.git"। इसके अतिरिक्त, डेवलपर के डिजिटल हस्ताक्षर के साथ प्रतिबद्धताओं के अनिवार्य प्रमाणीकरण की ओर बढ़ने के मुद्दे पर विचार किया जा रहा है। उन परिवर्तनों को सीधे जोड़ने पर रोक लगाने का भी प्रस्ताव है जिनकी पूर्व समीक्षा नहीं हुई है।

स्रोत: opennet.ru