A PHP projekt fejlesztői figyelmeztették a Git-tároló kompromittálódásáról és két rosszindulatú commit észleléséről, amelyeket március 28-án, Rasmus Lerdorf, a PHP alapítója, és Nikita Popov, a PHP egyik kulcsfejlesztője nevében adtak hozzá a php-src tárolóhoz.
Mivel kétségek merültek fel a Git-tároló elhelyezésének megbízhatóságával kapcsolatban, a fejlesztők úgy döntöttek, hogy a Git-infrastruktúra fenntartása kiegészítő biztonsági kockázatokat hordoz, és a referenciát a GitHub platformra helyezték át, amelyet javasoltak elsődleges használatra. Minden változást ezentúl a GitHub-ra kell benyújtani, nem a git.php.net-re, beleértve a fejlesztést is, amelyhez mostantól a GitHub webes felületét lehet használni.
Az első rosszindulatú commitban, amely a zlib.c fájlban helyesírási hiba javításának álcázva készült, egy olyan változtatást hajtottak végre, amely PHP-kódot futtat, ha az HTTP User Agent fejléc tartalma a "zerodium" szóval kezdődik. Miután a fejlesztők észlelték a rosszindulatú változást és azt visszavonták, a tárolóban megjelent egy második commit, amely visszavonta a PHP fejlesztők lépését és helyreállította a rosszindulatú módosítást.
A hozzáadott kódban található a "REMOVETHIS: sold to zerodium, mid 2017" sor, amely arra utalhat, hogy 2017 óta a kódban egy másik, jól álcázott rosszindulatú változtatás, vagy egy kijavítatlan vulnerabilitás található, amelyet a Zerodium cégnek adtak el, amely a 0-day vulnerabilitások megvásárlásával foglalkozik (a Zerodium cég azt nyilatkozta, hogy nem vásárolt PHP vulnerabilitásokról szóló információt).
Jelenleg nincs részletes információ az esetről, csupán annyit feltételeznek, hogy a változások egy hackelés következtében kerültek hozzáadásra a git.php.net-hez, nem pedig a fejlesztők egyedi fiókjainak kompromittálódása miatt. Elemzés kezdődött a tároló más rosszindulatú változtatásainak felderítésére is a már észlelt problémák mellett. Mindenkit meghívnak a véleményezésre, gyanús változások észlelése esetén kérjük, küldjön információt a security@php.net címre. a szerver git.php.net, nem pedig a fejlesztők egyes fiókjainak kompromittálódása. Kezdetét vette a tároló vizsgálata, hogy más, rosszindulatú változások után nyomozzanak a már észlelt problémák mellett. Minden érdeklődőt várnak a véleményezésre, ha gyanús változások merülnek fel, kérjük, küldjék el az információkat a security@php.net címre.
A GitHub-ra való átállás kapcsán a fejlesztőknek a PHP szervezetébe való belépéshez szükségük van írásbeli hozzáférésre az új tárolóhoz. Akik nincsenek a GitHubon a PHP fejlesztők között, keressék meg Popov Nikitát az nikic@php.net email címen. Az hozzáférés megszerzésének kötelező eleme a kétfaktoros hitelesítés aktív alkalmazása. A megfelelő jogokkal a tároló váltásához csak annyit kell tenni, hogy végrehajtják a „git remote set-url origin git@github.com:php/php-src.git” parancsot. Továbbá felmerült a kérdés, hogy a fejlesztők digitális aláírásával kötelezővé tegyék a commitok aláírását. Javasolt továbbá az olyan módosítások közvetlen hozzáadásának tilalma, amelyek nem mentek el előzetes véleményezésre.
Forrás: opennet.ru
