Béiswëlleg Ännerungen am Git Repository vum PHP-Projet festgestallt

D'Entwéckler vum PHP-Projet hunn gewarnt iwwer de Kompromiss vum Git-Repository vum Projet an d'Entdeckung vun zwee béiswëlleg Verpflichtungen, déi den 28. Mäerz am php-src Repository am Numm vum Rasmus Lerdorf, dem Grënner vu PHP, an Nikita Popov, ee vun de Schlëssel Entwéckler vun PHP.

Well et kee Vertrauen an d'Zouverlässegkeet vum Server ass, op deem de Git-Repository gehost gouf, hunn d'Entwéckler decidéiert datt d'Git-Infrastruktur eleng ënnerhalen zousätzlech Sécherheetsrisiken erstellt an d'Referenzrepository op d'GitHub Plattform geplënnert, déi proposéiert gëtt benotzt ze ginn. als primär. All Ännerungen sollen elo op GitHub geschéckt ginn, an net op git.php.net, och wann Dir entwéckelt, kënnt Dir elo d'GitHub Web Interface benotzen.

Am éischte béisaarteg Engagement, ënner dem Deckmantel vun engem Tippfeeler an der Datei ext/zlib/zlib.c ze fixéieren, gouf eng Ännerung gemaach, déi de PHP-Code leeft, deen am User Agent HTTP-Header passéiert ass, wann den Inhalt mam Wuert "Zerodium" ugefaang huet. ". Nodeems d'Entwéckler déi béiswëlleg Ännerung gemierkt hunn an se zréckgezunn hunn, ass en zweeten Engagement am Repository opgetaucht, deen d'Handlung vun den PHP-Entwéckler zréckgezunn huet fir déi béiswëlleg Ännerung zréckzekréien.

De addéierte Code enthält d'Linn "REMOVETHIS: verkaf op Null, Mëtt 2017", wat kann hinweisen datt zënter 2017 de Code eng aner, gutt camoufléiert, béiswëlleg Ännerung enthält, oder eng onkorrigéiert Schwachstelle verkaaft un Zerodium, eng Firma déi 0-Dag kaaft. Schwachstelle (Zerodium huet geäntwert datt et keng Informatioun iwwer d'PHP Schwachstelle kaaft huet).

Et gëtt de Moment keng detailléiert Informatiounen iwwer den Tëschefall, awer et gëtt ugeholl, datt d'Ännerungen als Resultat vun engem Hack bäigefüügt goufen. Server git.php.net, net d'Kompromittéierung vun eenzelnen Entwécklerkonten. Eng Analyse vum Repository op aner béiswëlleg Ännerungen zousätzlech zu den identifizéierte Problemer huet ugefaangen. Jiddereen, deen interesséiert ass, d'Ännerungen ze iwwerpréiwen, ass wëllkomm. Wann Dir verdächteg Ännerungen entdeckt, schéckt w.e.g. Informatiounen un security@php.net.

Wat den Iwwergank op GitHub ugeet, mussen d'Matareechter Member vun der PHP-Organisatioun sinn, fir Schreifzougang zum neie Repository ze kréien. Déi, déi net an der Zuel vun de PHP-Entwéckler op GitHub abegraff sinn, solle sech mam Nikita Popov per E-Mail un nikic@php.net wenden. Fir dëst ze maachen, muss d'Zwei-Faktor-Authentifikatioun aktivéiert sinn. Nodeems Dir déi entspriechend Rechter kritt hutt, fir de Repository z'änneren, ass et genuch, de Kommando "git remote set-url origin git@github.com:php/php-src.git" auszeféieren. Zousätzlech gëtt d'Fro vum Wiessel op eng obligatoresch Zertifizéierung vu Commits mat enger digitaler Ënnerschrëft vum Entwéckler iwwerluecht. Et gëtt och virgeschloen, d'direkt Zousetzung vun Ännerungen ze verbidden, déi keng virleefeg Iwwerpréiwung duerchgefouert goufen.

Source: opennet.ru