{"id":115126,"date":"2024-04-17T14:30:08","date_gmt":"2024-04-17T12:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz"},"modified":"2024-04-17T14:30:08","modified_gmt":"2024-04-17T12:30:08","slug":"popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","title":{"rendered":"Tentativi di ottenere il controllo su progetti aperti, simili a quanto avvenuto con il pacchetto xz.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'organizzazione OpenSSF (Open Source Security Foundation), creata sotto l'egida della Linux Foundation per migliorare la sicurezza del software open source, ha avvisato la comunit\u00e0 riguardo l'attivit\u00e0 sospetta legata ai tentativi di ottenere il controllo su progetti open source popolari, simile allo stile degli aggressori nella preparazione per l'inserimento di un backdoor nel progetto xz. Analogamente all'attacco su xz, individui discutibili, precedentemente poco coinvolti nello sviluppo, hanno cercato di utilizzare metodi di ingegneria sociale per raggiungere i loro obiettivi. <\/p>\n
Gli aggressori hanno avviato una comunicazione con i membri del consiglio di amministrazione dell'OpenJS Foundation, che funge da piattaforma neutrale per lo sviluppo collaborativo di progetti JavaScript open source, come Node.js, jQuery, Appium, Dojo, PEP, Mocha e webpack. Nella corrispondenza, che ha coinvolto diversi sviluppatori esterni con una storia discutibile nello sviluppo di software open source, sono stati fatti tentativi per convincere i dirigenti della necessit\u00e0 di aggiornare uno dei popolari progetti JavaScript gestiti dall'OpenJS Foundation. <\/p>\n
La motivazione dell'aggiornamento \u00e8 stata indicata come la necessit\u00e0 di aggiungere \u00abprotezione da vulnerabilit\u00e0 critiche\u00bb. Tuttavia, non sono stati forniti dettagli sulla natura delle vulnerabilit\u00e0 stesse. Per attuare le modifiche, uno sviluppatore sospetto ha proposto di essere incluso tra i collaboratori del progetto, in cui in precedenza aveva partecipato solo marginalmente. Inoltre, scenari simili di imposizione del proprio codice sono stati identificati in altri due progetti JavaScript popolari, non correlati all'organizzazione OpenJS. Si sospetta che i casi non siano isolati e che chi supporta progetti open source debba rimanere vigile nell'accettazione di codice e nella convalida di nuovi sviluppatori. <\/p>\n
Tra i segnali che possono indicare attivit\u00e0 dannosa, si menziona l'approccio benevolo, ma al contempo aggressivo e insistente, di partecipanti poco noti nella comunit\u00e0 verso i manutentori o i leader dei progetti, con l'idea di promuovere il proprio codice o di ottenere lo status di manutentore. Si dovrebbe anche prestare attenzione alla creazione di un gruppo di supporto attorno alle idee promosse, formato da personalit\u00e0 inventate, che non hanno mai partecipato allo sviluppo o che si sono recentemente unite alla comunit\u00e0. <\/p>\n
Quando si ricevono modifiche, bisogna considerarle come segnali di potenziali attivit\u00e0 dannose, come tentativi di includere dati binari nelle richieste di fusione (ad esempio, nel caso di xz, il backdoor \u00e8 stato trasmesso in archivi per testare il decompattatore) o codice confuso o difficile da comprendere. \u00c8 importante prestare attenzione ai tentativi di apportare modifiche che riducano leggermente la sicurezza, inviati per valutare la reazione della comunit\u00e0 e verificare la presenza di persone che monitorano le modifiche (ad esempio, in xz la funzione Safe_fprintf \u00e8 stata sostituita da fprintf). Cambiamenti atipici nei metodi di compilazione, costruzione e distribuzione del progetto, l'uso di artefatti esterni e la creazione di un senso di urgenza nell'accettare modifiche devono anche suscitare sospetti. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"