Az OpenSSF (Open Source Security Foundation), amelyet a Linux Foundation támogat, hogy növelje a nyílt szoftverek biztonságát, figyelmeztette a közösséget a népszerű nyílt projektek feletti kontroll megszerzésére irányuló próbálkozásokkal kapcsolatos aktivitásokról, amelyek hasonló stílust mutatnak, mint a rosszindulatú támadók a bbackdoorok beszervezése során a xz projektbe. Hasonlóképpen, a xz támadása során kétes egyének, akik korábban nem voltak mélyen bevonva a fejlesztésbe, próbálták alkalmazni a szociális manipuláció módszereit céljaik elérésére.
A támadók levelezésbe léptek az OpenJS Foundation irányító testületének tagjaival, amely egy semleges platform az olyan nyílt JavaScript-projektek, mint a Node.js, jQuery, Appium, Dojo, PEP, Mocha és webpack közös fejlesztésére. A levelezésben, amelyben több, kérdéses hátterű külső fejlesztő is részt vett, kísérletet tettek arra, hogy meggyőzzék a vezetőséget arról, hogy frissíteni kell az OpenJS által felügyelt egyik népszerű JavaScript-projektet.
A frissítés szükségességét az „örökös kritikus sebezhetőségek védelme” melletti érveléssel indokolták. Részleteket azonban nem adtak meg a sebezhetőségek természetéről. A módosítások megvalósítása érdekében a kétes fejlesztő azt javasolta, hogy vegyék őt bele a projekt kísérői közé, amelynek korábban csak csekély részvételét mutatta. Ezen kívül hasonló kétes kódbeillesztési forgatókönyveket két másik népszerű JavaScript-projektben is felfedeztek, amelyek nem kapcsolódnak az OpenJS-hez. Azt feltételezik, hogy ezek az esetek nem egyediek, és a nyílt projekteket kísérőknek nem szabad elveszteniük a figyelmüket a kódok átvételekor és az új fejlesztők jóváhagyásakor.
A jelenségek között, amelyek rosszindulatú aktivitásra utalhatnak, szerepel a kedves, de ugyanakkor agresszív és nyomulós közeledés ismeretlen közösségi tagok részéről a projekt vezetőihez vagy kísérőihez, a saját kódjuk népszerűsítésének vagy egy kísérői státusz nyújtásának ötletével. Figyelmet kell fordítani a támogatói csoport megjelenésére is a népszerűsített ötletek körül, amely kitalált személyekből áll, akik korábban nem vettek részt a fejlesztésben vagy nemrég csatlakoztak a közösséghez.
A változtatások elfogadása során jelekként kell értékelni a potenciálisan káros cselekedetekhez való hozzáférés kísérleteit, például bináris adatok (például az xz hátsó ajtó archívumokban történő elküldése a kibővítő teszteléséhez) bekérő kérésekbe való beépítését vagy zavaros, nehezen érthető kódot. Figyelni kell a változtatásokra tett próbálkozásokra, amelyek kissé csökkentik a biztonságot, és amelyeket a közösség reakciójának értékelésére és a módosítások nyomon követésére felügyeletet gyakorolni képes személyek felderítésére küldenek (például az xz esetében a Safe_fprintf funkciót kicserélték a fprintf-re). Gyanúra adhat okot továbbá a projekt fordítási, összeállítási és telepítési módszereiben történő atípikus változtatások, harmadik fél által létrehozott tárgyak bevonása és a sürgős változtatások elfogadásának szükségessége miatt keltett érzés.
Forrás: opennet.ru
