ລາຍງານການປະນີປະນອມຂອງ git repository ແລະພື້ນຖານຜູ້ໃຊ້ຂອງໂຄງການ PHP

ຜົນໄດ້ຮັບທໍາອິດຂອງການວິເຄາະເຫດການທີ່ກ່ຽວຂ້ອງກັບການກໍານົດສອງການກະທໍາທີ່ເປັນອັນຕະລາຍຢູ່ໃນບ່ອນເກັບມ້ຽນ Git ຂອງໂຄງການ PHP ທີ່ມີການເປີດໃຊ້ backdoor ເມື່ອສົ່ງຄໍາຮ້ອງຂໍທີ່ມີສ່ວນຫົວຕົວແທນຜູ້ໃຊ້ທີ່ຖືກອອກແບບພິເສດໄດ້ຖືກຈັດພີມມາ. ໃນໄລຍະການສຶກສາການຕິດຕາມກິດຈະກໍາຂອງຜູ້ໂຈມຕີ, ສະຫຼຸບໄດ້ວ່າເຄື່ອງແມ່ຂ່າຍ git.php.net ຕົວຂອງມັນເອງ, ທີ່ຕັ້ງ git repository, ບໍ່ໄດ້ຖືກ hacked, ແຕ່ຖານຂໍ້ມູນທີ່ມີບັນຊີຂອງຜູ້ພັດທະນາໂຄງການໄດ້ຖືກທໍາລາຍ. .

ມັນເປັນໄປໄດ້ວ່າຜູ້ໂຈມຕີສາມາດດາວໂຫລດຖານຂໍ້ມູນຜູ້ໃຊ້ທີ່ເກັບໄວ້ໃນ DBMS ຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ master.php.net. ເນື້ອໃນຂອງ master.php.net ໄດ້ຖືກຍ້າຍໄປຫາເຄື່ອງແມ່ຂ່າຍ main.php.net ໃຫມ່ທີ່ຕິດຕັ້ງຕັ້ງແຕ່ເລີ່ມຕົ້ນ. ລະຫັດຜ່ານຂອງຜູ້ພັດທະນາທັງໝົດທີ່ໃຊ້ໃນການເຂົ້າເຖິງໂຄງສ້າງພື້ນຖານຂອງ php.net ໄດ້ຖືກຕັ້ງຄືນໃຫມ່ ແລະຂະບວນການປ່ຽນພວກມັນໄດ້ຖືກລິເລີ່ມຜ່ານແບບຟອມການກູ້ຄືນລະຫັດຜ່ານພິເສດ. git.php.net ແລະ svn.php.net repositories ຍັງຄົງອ່ານໄດ້ເທົ່ານັ້ນ (ການພັດທະນາໄດ້ຖືກຍ້າຍໄປ GitHub).

ຫຼັງຈາກການຄົ້ນພົບຄໍາຫມັ້ນສັນຍາທີ່ເປັນອັນຕະລາຍຄັ້ງທໍາອິດທີ່ເຮັດຜ່ານບັນຊີຂອງ Rasmus Lerdorf, ຜູ້ກໍ່ຕັ້ງ PHP, ມັນສົມມຸດວ່າບັນຊີຂອງລາວໄດ້ຖືກ hacked ແລະ Nikita Popov, ຫນຶ່ງໃນນັກພັດທະນາ PHP ທີ່ສໍາຄັນ, ມ້ວນຄືນການປ່ຽນແປງແລະຂັດຂວາງສິດທິຂອງຄໍາຫມັ້ນສັນຍາສໍາລັບ. ບັນ​ຊີ​ທີ່​ມີ​ບັນ​ຫາ​. ຫຼັງຈາກເວລາໃດຫນຶ່ງ, ຄວາມເປັນຈິງໄດ້ເກີດຂື້ນວ່າການຂັດຂວາງບໍ່ມີຄວາມຫມາຍ, ເພາະວ່າບໍ່ມີການຢັ້ງຢືນຄໍາຫມັ້ນສັນຍາໂດຍໃຊ້ລາຍເຊັນດິຈິຕອນ, ຜູ້ເຂົ້າຮ່ວມໃດໆທີ່ມີການເຂົ້າເຖິງ php-src repository ສາມາດປ່ຽນແປງໄດ້ໂດຍການປ່ຽນຊື່ຜູ້ຂຽນປອມ.

ຕໍ່ໄປ, ຜູ້ໂຈມຕີໄດ້ສົ່ງການກະທໍາທີ່ເປັນອັນຕະລາຍໃນນາມຂອງ Nikita ເອງ. ໂດຍການວິເຄາະບັນທຶກຂອງບໍລິການ gitolite, ນໍາໃຊ້ເພື່ອຈັດຕັ້ງການເຂົ້າເຖິງ repositories, ໄດ້ພະຍາຍາມກໍານົດຜູ້ເຂົ້າຮ່ວມຜູ້ທີ່ເຮັດການປ່ຽນແປງຕົວຈິງ. ເຖິງວ່າຈະມີການລວມເອົາບັນຊີສໍາລັບຄໍາຫມັ້ນສັນຍາທັງຫມົດ, ບໍ່ມີລາຍການຢູ່ໃນບັນທຶກສໍາລັບການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍສອງຢ່າງ. ມັນໄດ້ກາຍເປັນທີ່ຊັດເຈນວ່າມີການປະນີປະນອມຂອງໂຄງສ້າງພື້ນຖານ, ນັບຕັ້ງແຕ່ຄໍາຫມັ້ນສັນຍາໄດ້ຖືກເພີ່ມໂດຍກົງ, ຂ້າມການເຊື່ອມຕໍ່ຜ່ານ gitolite.

ເຊີບເວີ git.php.net ໄດ້ຖືກປິດລົງຢ່າງໄວວາ, ແລະບ່ອນເກັບຂໍ້ມູນຫຼັກໄດ້ຖືກຍ້າຍໄປ GitHub. ໃນຊ່ວງເວລາຮີບຮ້ອນ, ມັນໄດ້ຖືກມອງຂ້າມວ່ານອກເໜືອໄປຈາກການເຂົ້າເຖິງ SSH ໂດຍໃຊ້ gitolite, ຍັງມີການເຂົ້າສູ່ລະບົບອື່ນສຳລັບບ່ອນເກັບຂໍ້ມູນ, ເຊິ່ງອະນຸຍາດໃຫ້ສົ່ງ commits ຜ່ານ HTTPS. ໃນກໍລະນີນີ້, git-http-backend ໄດ້ຖືກນໍາໃຊ້ສໍາລັບການພົວພັນກັບ Git, ແລະການກວດສອບຄວາມຖືກຕ້ອງໄດ້ຖືກປະຕິບັດໂດຍໃຊ້ເຊີບເວີ Apache2 HTTP, ເຊິ່ງໄດ້ກວດສອບສິດອະນຸຍາດໂດຍການເຂົ້າເຖິງຖານຂໍ້ມູນທີ່ໂຮດຢູ່ໃນ ເຄື່ອງແມ່ຂ່າຍ master.php.net. ການເຂົ້າສູ່ລະບົບໄດ້ອະນຸຍາດໃຫ້ບໍ່ພຽງແຕ່ໃຊ້ລະຫັດເທົ່ານັ້ນ ແຕ່ຍັງໃຊ້ລະຫັດຜ່ານປົກກະຕິອີກດ້ວຍ. ການວິເຄາະບັນທຶກຂອງເຊີບເວີ HTTP ຢືນຢັນວ່າການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍໄດ້ຖືກເພີ່ມຜ່ານ HTTPS.

ການກວດສອບບັນທຶກສະແດງໃຫ້ເຫັນວ່າຜູ້ໂຈມຕີບໍ່ໄດ້ເຊື່ອມຕໍ່ໃນຄັ້ງທຳອິດ, ແຕ່ໄດ້ພະຍາຍາມຄາດເດົາຊື່ບັນຊີກ່ອນ. ຫຼັງຈາກລະບຸຕົວຕົນແລ້ວ, ພວກເຂົາໄດ້ເຂົ້າສູ່ລະບົບໃນຄັ້ງທຳອິດ. ນີ້ໝາຍຄວາມວ່າພວກເຂົາຮູ້ລະຫັດຜ່ານຂອງ Rasmus ແລະ Nikita ລ່ວງໜ້າ, ແຕ່ບໍ່ຮູ້ຊື່ຜູ້ໃຊ້ຂອງພວກເຂົາ. ຖ້າຜູ້ໂຈມຕີສາມາດເຂົ້າເຖິງ DBMS ໄດ້, ມັນຍັງບໍ່ຊັດເຈນວ່າເປັນຫຍັງພວກເຂົາຈຶ່ງບໍ່ໄດ້ໃຊ້ຊື່ຜູ້ໃຊ້ທີ່ຖືກຕ້ອງທີ່ລະບຸໄວ້ໃນທັນທີ. ຄວາມແຕກຕ່າງນີ້ຍັງບໍ່ທັນໄດ້ຮັບການອະທິບາຍຢ່າງໜ້າເຊື່ອຖືເທື່ອ. ການແຮັກ master.php.net ຖືກພິຈາລະນາວ່າເປັນສະຖານະການທີ່ເປັນໄປໄດ້ຫຼາຍທີ່ສຸດ, ໃນເວລານີ້. ເຄື່ອງແມ່ຂ່າຍ ລະຫັດເກົ່າຫຼາຍ ແລະ ລະບົບປະຕິບັດການທີ່ລ້າສະໄໝໄດ້ຖືກນຳໃຊ້ ເຊິ່ງບໍ່ໄດ້ຮັບການອັບເດດເປັນເວລາດົນນານ ແລະ ມີຊ່ອງໂຫວ່ທີ່ບໍ່ໄດ້ຮັບການແກ້ໄຂ.

ການປະຕິບັດທີ່ປະຕິບັດລວມມີການຕິດຕັ້ງໃຫມ່ຂອງສະພາບແວດລ້ອມເຊີຟເວີ master.php.net ແລະການໂອນ scripts ໃຫ້ກັບ PHP 8 ຮຸ່ນໃຫມ່. ລະຫັດສໍາລັບການເຮັດວຽກກັບ DBMS ໄດ້ຖືກດັດແປງເພື່ອນໍາໃຊ້ການສອບຖາມ parameterized ທີ່ສັບສົນການທົດແທນລະຫັດ SQL. bcrypt algorithm ຖືກນໍາໃຊ້ເພື່ອເກັບລະຫັດຜ່ານ hashes ໃນຖານຂໍ້ມູນ (ກ່ອນຫນ້ານີ້, ລະຫັດຜ່ານຖືກເກັບໄວ້ໂດຍໃຊ້ MD5 hash ທີ່ບໍ່ຫນ້າເຊື່ອຖື). ລະ​ຫັດ​ຜ່ານ​ທີ່​ມີ​ຢູ່​ແລ້ວ​ຖືກ​ຕັ້ງ​ຄືນ​ໃຫມ່​ແລະ​ທ່ານ​ໄດ້​ຮັບ​ການ​ເຕືອນ​ໃຫ້​ຕັ້ງ​ລະ​ຫັດ​ຜ່ານ​ໃຫມ່​ໂດຍ​ຜ່ານ​ຮູບ​ແບບ​ການ​ຟື້ນ​ຕົວ​ລະ​ຫັດ​ຜ່ານ​. ນັບຕັ້ງແຕ່ການເຂົ້າເຖິງ git.php.net ແລະ svn.php.net repositories ຜ່ານ HTTPS ຖືກຜູກມັດກັບ MD5 hashes, ມັນໄດ້ຖືກຕັດສິນໃຈອອກຈາກ git.php.net ແລະ svn.php.net ໃນຮູບແບບອ່ານເທົ່ານັ້ນ, ແລະຍັງຍ້າຍທັງຫມົດ. ທີ່ຍັງເຫຼືອໃຫ້ເຂົາເຈົ້າ PECL repositories ຂະຫຍາຍຢູ່ໃນ GitHub, ຄ້າຍຄືກັນກັບ PHP repository ຕົ້ນຕໍ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru