Navoaka ny vokatra voalohany amin'ny famakafakana tranga iray mifandraika amin'ny famantaran'ny fanaovan-dratsy roa ao amin'ny fitahirizana Git amin'ny tetikasa PHP misy varavarana ambadika navitrika rehefa mandefa fangatahana miaraka amin'ny lohatenin'ny User Agent natao manokana. Nandritra ny fandinihana ny dian'ny hetsika nataon'ireo mpanafika dia noheverina fa ny mpizara git.php.net mihitsy, izay nisy ny fitehirizana git, dia tsy nijirika, fa ny angon-drakitra misy ny kaontin'ny mpamorona tetikasa dia voakitika. .
Mety ho azon'ireo mpanafika naka ny angon-drakitra mpampiasa voatahiry ao amin'ny DBMS amin'ny server master.php.net. Ny votoatin'ny master.php.net dia efa nafindra tany amin'ny mpizara main.php.net vaovao napetraka hatrany am-boalohany. Naverina tamin'ny laoniny ny tenimiafin'ny mpamorona rehetra nampiasaina hidirana amin'ny fotodrafitrasa php.net ary natomboka tamin'ny alalan'ny endrika fanarenana tenimiafina manokana ny dingana fanovana azy ireo. Ny tahiry git.php.net sy svn.php.net dia mijanona ho vakiana ihany (nafindra any amin'ny GitHub ny fampandrosoana).
Taorian'ny nahitana ny fanekena ratsy voalohany natao tamin'ny alΓ lan'ny kaontin'i Rasmus Lerdorf, mpanorina ny PHP, dia noheverina fa nisy nijirika ny kaontiny ary i Nikita Popov, iray amin'ireo mpamorona PHP manan-danja, dia namerina ny fanovana ary nanakana ny zon'ny fanekena ny kaonty misy olana. Rehefa afaka kelikely, tonga ny fahatsapana fa tsy mitombina ny fanakanana, satria raha tsy misy ny fanamarinana ny fanekena amin'ny fampiasana sonia nomerika, ny mpandray anjara rehetra afaka miditra amin'ny tahiry php-src dia afaka manova amin'ny alΓ lan'ny fanoloana anarana mpanoratra noforonina.
Manaraka izany, nandefa fitenenan-dratsy tamin'ny anaran'i Nikita mihitsy ireo mpanafika. Tamin'ny famakafakana ny diarin'ny tolotra gitolite, nampiasaina handaminana ny fidirana amin'ny fitehirizam-bokatra, dia nisy fanandramana natao hamaritana ny mpandray anjara izay tena nanao ny fanovana. Na dia teo aza ny fampidirana ny kaonty ho an'ny commit rehetra, dia tsy nisy ny fidirana tao amin'ny log ho an'ny fanovana roa ratsy. Niharihary fa nisy ny marimaritra iraisana teo aminβny fotodrafitrasa, satria nampiana mivantana ny commits, nanelingelina ny fifandraisana taminβny alalanβny gitolite.
Ny mpizara git.php.net dia nesorina avy hatrany, ary nafindra tany amin'ny GitHub ny tahiry voalohany. Haingana dia adino fa ny fidirana amin'ny tahiry, ankoatry ny SSH mampiasa gitolite, dia nisy fampidirana iray hafa ahafahanao mandefa commit amin'ny HTTPS. Amin'ity tranga ity, ny git-http-backend dia nampiasaina hifaneraserana amin'ny Git, ary ny fanamarinana dia natao tamin'ny fampiasana ny server Apache2 HTTP, izay nanamarina ny fahazoan-dΓ lana tamin'ny fidirana amin'ny angon-drakitra nampiantranoina tao amin'ny DBMS amin'ny server master.php.net. Tsy navela tamin'ny fanalahidy ihany ny fidirana, fa tamin'ny tenimiafina mahazatra ihany koa. Ny famakafakana ny diarin'ny mpizara http dia nanamafy fa nampiana fanovana ratsy tamin'ny alalan'ny HTTPS.
Taminβny fandinihana ireo lozisialy ireo dia fantatra fa tsy nifandray voalohany ireo mpanafika, fa niezaka nitady ny anaranβny kaonty tany am-boalohany, saingy rehefa fantatrβizy ireo izany dia niditra taminβny andrana voalohany, i.e. fantatr'izy ireo mialoha ny tenimiafin'i Rasmus sy Nikita, saingy tsy fantany ny fidirany. Raha afaka niditra tao amin'ny DBMS ireo mpanafika, dia tsy mazava ny antony tsy nampiasany avy hatrany ny fidirana marina voalaza ao. Tsy mbola nahazoana fanazavana azo antoka io tsy fitovian-kevitra io. Ny hack of master.php.net dia heverina ho mety ho toe-javatra mety hitranga, satria ity mpizara ity dia nampiasa kaody tranainy sy OS efa lany andro, izay tsy nohavaozina hatry ny ela ary nanana vulnerability tsy voafehy.
Ny hetsika natao dia nahitana ny fametrahana indray ny tontolon'ny mpizara master.php.net sy ny famindrana script amin'ny dikan-teny vaovao amin'ny PHP 8. Ny kaody ho an'ny fiaraha-miasa amin'ny DBMS dia novaina mba hampiasana fanontaniana voafaritra, izay manasarotra ny fanoloana ny kaody SQL. Ny algorithm bcrypt dia ampiasaina amin'ny fitahirizana tenimiafina amin'ny angon-drakitra (teo aloha, ny tenimiafina dia voatahiry amin'ny fampiasana hash MD5 tsy azo ianteherana). Averina ny tenimiafina efa misy ary asaina mametraka tenimiafina vaovao ianao amin'ny alΓ lan'ny endrika fanarenana tenimiafina. Satria ny fidirana amin'ny git.php.net sy svn.php.net repository amin'ny alΓ lan'ny HTTPS dia mifamatotra amin'ny hash MD5, dia nanapa-kevitra ny handao ny git.php.net sy svn.php.net amin'ny fomba vakiana fotsiny, ary hamindra ny rehetra. ny ambiny amin'izy ireo PECL fanitarana repository ao amin'ny GitHub, mitovy amin'ny PHP repository lehibe.
Source: opennet.ru