{"id":115126,"date":"2024-04-17T14:30:08","date_gmt":"2024-04-17T12:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz"},"modified":"2024-04-17T14:30:08","modified_gmt":"2024-04-17T12:30:08","slug":"popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","title":{"rendered":"Tentativi di ottenere il controllo su progetti open source, simili al caso del pacchetto xz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'organizzazione OpenSSF (Open Source Security Foundation), fondata sotto l'egida della Linux Foundation per migliorare la sicurezza del software open source, ha avvertito la comunit\u00e0 della scoperta di attivit\u00e0 legate ai tentativi di ottenere il controllo su popolari progetti open source, simile nello stile delle azioni dei malintenzionati durante la preparazione per l'inserimento di un backdoor nel progetto xz. Analogamente all'attacco su xz, individui sospetti, precedentemente poco coinvolti nello sviluppo, hanno cercato di utilizzare metodi di ingegneria sociale per raggiungere i loro obiettivi. <\/p>\n
Gli aggressori hanno avviato una corrispondenza con membri del consiglio di amministrazione dell'organizzazione OpenJS Foundation, che funge da piattaforma neutrale per lo sviluppo collaborativo di progetti open source in JavaScript, come Node.js, jQuery, Appium, Dojo, PEP, Mocha e webpack. Nella corrispondenza, a cui hanno partecipato diversi sviluppatori esterni con passati sospetti nello sviluppo di software open source, sono stati compiuti tentativi di convincere la direzione della necessit\u00e0 di aggiornare uno dei popolari progetti JavaScript curati dall'organizzazione OpenJS. <\/p>\n
La motivazione per l'aggiornamento era la necessit\u00e0 di aggiungere \u00abprotezione contro tutte le vulnerabilit\u00e0 critiche\u00bb. Tuttavia, non sono stati forniti dettagli sulla natura delle vulnerabilit\u00e0. Per implementare le modifiche, un sospetto sviluppatore ha proposto di includerlo tra i collaboratori del progetto, nel quale aveva in precedenza preso solo un piccolo ruolo. Inoltre, scenari sospetti simili di imposizione del proprio codice sono stati riscontrati in altri due progetti JavaScript popolari, non collegati all'organizzazione OpenJS. Si presume che non si tratti di casi isolati e che i collaboratori di progetti open source debbano rimanere vigili nell'accettare codice e approvare nuovi sviluppatori. <\/p>\n
Tra i segnali che possono indicare attivit\u00e0 malevole si annovera l'approccio amichevole, ma allo stesso tempo aggressivo e insistente, di partecipanti poco noti alla comunit\u00e0 verso i supervisori o i leader di progetto con l'intento di promuovere il proprio codice o di ottenere lo status di supervisore. \u00c8 importante prestare attenzione anche alla comparsa di un gruppo di supporto attorno alle idee promosse, formato da identit\u00e0 fittizie che non hanno precedentemente partecipato allo sviluppo o che si sono unite di recente alla comunit\u00e0. <\/p>\n
Durante l'accettazione delle modifiche, \u00e8 opportuno considerare come segnali di potenziali attivit\u00e0 dannose i tentativi di includere dati binari nelle richieste di unione (ad esempio, nel caso di xz un backdoor \u00e8 stato trasmesso negli archivi per testare il decompositore) o codice confuso o difficile da comprendere. Si dovrebbe prestare attenzione ai tentativi di modifica che riducono lievemente la sicurezza, inviati per valutare la reazione della comunit\u00e0 e verificare la presenza di individui che monitorano le modifiche (ad esempio, in xz la funzione Safe_fprintf \u00e8 stata sostituita da fprintf). Anche le modifiche atipiche ai metodi di compilazione, costruzione e distribuzione del progetto, il coinvolgimento di artefatti di terze parti e la creazione di una sensazione di urgenza per accettare le modifiche dovrebbero sollevare sospetti. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"