דווח על הפשרה של מאגר git ובסיס המשתמשים של פרויקט PHP

פורסמו התוצאות הראשונות של ניתוח תקרית הקשורה לזיהוי של שני התחייבויות זדוניות במאגר Git של פרויקט PHP עם דלת אחורית מופעלת בעת שליחת בקשה עם כותרת User Agent שתוכננה במיוחד. במהלך לימוד עקבות הפעילות של התוקפים, הגיע למסקנה ששרת git.php.net עצמו, עליו נמצא מאגר ה-git, לא נפרץ, אך מסד הנתונים עם החשבונות של מפתחי הפרויקט נפגע. .

ייתכן שהתוקפים הצליחו להוריד את מסד הנתונים של המשתמשים המאוחסן ב-DBMS בשרת master.php.net. התוכן של master.php.net כבר הועבר לשרת main.php.net החדש שהותקן מאפס. כל סיסמאות המפתחים ששימשו לגישה לתשתית php.net אופסו ותהליך החלפתן הוחל באמצעות טופס מיוחד לשחזור סיסמאות. מאגרי git.php.net ו-svn.php.net נשארים לקריאה בלבד (הפיתוח הועבר ל-GitHub).

לאחר גילוי ההתחייבות הזדונית הראשונה שבוצעה דרך חשבונו של רסמוס לרדורף, מייסד PHP, ההנחה הייתה שהחשבון שלו נפרץ וניקיטה פופוב, אחד ממפתחי PHP המפתחים, ביטל את השינויים וחסם את זכויות ההתחייבות עבור החשבון הבעייתי. לאחר זמן מה הגיעה ההבנה שהחסימה לא הגיונית, שכן ללא אימות התחייבויות באמצעות חתימה דיגיטלית, כל משתתף בעל גישה למאגר php-src יכול לבצע שינוי על ידי החלפת שם מחבר בדוי.

לאחר מכן, התוקפים שלחו התחייבות זדונית בשמו של ניקיטה עצמו. על ידי ניתוח היומנים של שירות gitolite, המשמש לארגון גישה למאגרים, נעשה ניסיון לקבוע את המשתתף שביצע בפועל את השינויים. למרות הכללת החשבון עבור כל ההתחייבויות, לא היו רישומים ביומן עבור שני שינויים זדוניים. התברר שיש פשרה של התשתית, שכן התווספו התחייבויות ישירות, תוך עקיפת החיבור דרך גיטוליט.

שרת git.php.net הושבת מיידית והמאגר הראשי הועבר ל-GitHub. מיהר, נשכח שכדי לגשת למאגר, בנוסף ל-SSH באמצעות gitolit, היה קלט נוסף שאפשר לשלוח commits דרך HTTPS. במקרה זה, ה-git-http-backend שימש לאינטראקציה עם Git, והאימות בוצע באמצעות שרת ה-Apache2 HTTP, אשר אימת אישורים על ידי גישה למסד הנתונים המתארח ב-DBMS בשרת master.php.net. הכניסה הותרה לא רק עם מפתחות, אלא גם עם סיסמה רגילה. ניתוח של יומני שרת ה-http אישר שנוספו שינויים זדוניים באמצעות HTTPS.

בעת לימוד היומנים התברר כי התוקפים לא התחברו בפעם הראשונה, אלא ניסו בתחילה למצוא את שם החשבון, אך לאחר זיהויו התחברו בניסיון הראשון, כלומר. הם הכירו את הסיסמאות של רסמוס וניקיטה מראש, אבל לא ידעו את פרטי הכניסה שלהם. אם התוקפים הצליחו לקבל גישה ל-DBMS, לא ברור מדוע הם לא השתמשו מיד בכניסה הנכונה שצוינה שם. אי התאמה זו טרם זכתה להסבר מהימן. הפריצה של master.php.net נחשבת לתרחיש הסביר ביותר, שכן שרת זה השתמש בקוד ישן מאוד ובמערכת הפעלה מיושנת, שלא עודכנה במשך זמן רב והיו לה פרצות שלא תואמו.

הפעולות שננקטו כללו התקנה מחדש של סביבת השרת master.php.net והעברת סקריפטים לגרסה החדשה של PHP 8. הקוד לעבודה עם ה-DBMS שונה לשימוש בשאילתות עם פרמטרים, שמקשות על החלפת קוד SQL. אלגוריתם bcrypt משמש לאחסון גיבוב של סיסמאות במסד הנתונים (בעבר, סיסמאות נשמרו באמצעות hash MD5 לא אמין). סיסמאות קיימות מאופסות ואתה מתבקש להגדיר סיסמה חדשה באמצעות טופס שחזור הסיסמה. מכיוון שהגישה למאגרי git.php.net ו-svn.php.net דרך HTTPS הייתה קשורה ל-hash MD5, הוחלט להשאיר את git.php.net ו-svn.php.net במצב קריאה בלבד, וגם להעביר את כל הנותרים להם מאגרי הרחבות PECL ב-GitHub, בדומה למאגר ה-PHP הראשי.

מקור: OpenNet.ru