שינויים זדוניים זוהו במאגר Git של פרויקט PHP

מפתחי פרויקט ה-PHP הזהירו מפני הפשרה של מאגר Git של הפרויקט וגילוי של שתי התחייבויות זדוניות שנוספו למאגר php-src ב-28 במרץ מטעם רסמוס לרדורף, מייסד PHP, וניקיטה פופוב, אחת מהחברות. מפתחי מפתח של PHP.

מכיוון שאין אמון באמינות השרת בו התארח מאגר Git, החליטו המפתחים שתחזוקת תשתית ה-Git בעצמם יוצרת סיכוני אבטחה נוספים והעבירו את מאגר ההתייחסות לפלטפורמת GitHub, המוצעת לשימוש. בתור העיקרי. כל השינויים אמורים להישלח כעת אל GitHub, ולא אל git.php.net, כולל בעת הפיתוח, כעת תוכל להשתמש בממשק האינטרנט של GitHub.

ב-commit הזדוני הראשון, במסווה של תיקון שגיאת הקלדה בקובץ ext/zlib/zlib.c, נעשה שינוי שיפעיל את קוד ה-PHP המועבר בכותרת User Agent HTTP אם התוכן יתחיל במילה "zerodium" ". לאחר שהמפתחים הבחינו בשינוי הזדוני והחזירו אותו, הופיעה commit שני במאגר, ששיבה את פעולת מפתחי ה-PHP לבטל את השינוי הזדוני.

הקוד שנוסף מכיל את השורה "REMOVETHIS: sold to zerodium, mid 2017", מה שעשוי לרמוז שמאז 2017 הקוד מכיל שינוי נוסף, מוסווה היטב, זדוני, או פגיעות לא מתוקנת שנמכרה לחברה Zerodium שרוכשת 0 יום נקודות תורפה (Zerodium השיב כי הוא לא רכש מידע על פגיעות ה-PHP).

בשלב זה, אין מידע מפורט על האירוע; ההנחה היא רק שהשינויים נוספו כתוצאה מהפריצה לשרת git.php.net, ולא מהתפשרות של חשבונות מפתח בודדים. הניתוח של המאגר החל לקיומם של שינויים זדוניים נוספים בנוסף לבעיות שזוהו. כולם מוזמנים לבדוק; אם מתגלים שינויים חשודים, עליך לשלוח מידע אל [מוגן בדוא"ל].

לגבי המעבר ל-GitHub, על מנת לקבל גישת כתיבה למאגר החדש, משתתפי הפיתוח חייבים להיות חלק מארגון ה-PHP. מי שאינם רשומים כמפתחי PHP ב-GitHub צריכים ליצור קשר עם Nikita Popov במייל [מוגן בדוא"ל]. כדי להוסיף, דרישה חובה היא לאפשר אימות דו-גורמי. לאחר השגת הזכויות המתאימות לשינוי המאגר, פשוט הפעל את הפקודה "git remote set-url origin [מוגן בדוא"ל]:php/php-src.git". בנוסף, נשקל נושא המעבר לאישור חובה של התחייבויות עם חתימה דיגיטלית של היזם. כן מוצע לאסור הוספה ישירה של שינויים שלא עברו בדיקה מוקדמת.

מקור: OpenNet.ru