Извештај за компромисот на git складиштето и корисничката база на проектот PHP

Објавени се првите резултати од анализата на инцидент поврзан со идентификација на две малициозни заложби во складиштето Git на PHP проект со активирана задна врата при испраќање барање со специјално дизајниран заглавие на кориснички агент. Во текот на проучувањето на трагите од активностите на напаѓачите, констатирано е дека самиот сервер git.php.net, на кој се наоѓал складиштето на git, не бил хакиран, туку била компромитирана базата на податоци со сметките на развивачите на проектот. .

Можно е напаѓачите да можеле да ја преземат корисничката база на податоци зачувана во DBMS на серверот master.php.net. Содржината на master.php.net веќе е мигрирана на новиот main.php.net сервер инсталиран од нула. Сите лозинки за програмери користени за пристап до инфраструктурата php.net беа ресетирани и процесот на нивна промена беше започнат преку специјален формулар за враќање на лозинката. Складиштата git.php.net и svn.php.net остануваат само за читање (развојот е преместен во GitHub).

По откривањето на првиот злонамерен потфат направен преку сметката на Расмус Лердорф, основачот на PHP, се претпоставуваше дека неговата сметка била хакирана и Никита Попов, еден од клучните развивачи на PHP, ги вратил промените и ги блокирал правата за извршување за проблематичната сметка. По некое време, се сфати дека блокирањето нема смисла, бидејќи без проверка на обврските со помош на дигитален потпис, секој учесник со пристап до складиштето php-src може да направи промена со замена на фиктивно име на авторот.

Потоа, напаѓачите испратија злонамерно извршување во име на самиот Никита. Со анализа на дневниците на услугата gitolite, користена за организирање пристап до складиштата, беше направен обид да се утврди учесникот кој всушност ги направил промените. И покрај вклучувањето на сметководството за сите обврски, немаше записи во дневникот за две злонамерни промени. Стана јасно дека има компромис на инфраструктурата, бидејќи заложбите беа директно додадени, заобиколувајќи ја врската преку gitolite.

Серверот git.php.net беше веднаш оневозможен, а примарното складиште беше префрлено на GitHub. Набрзина, беше заборавено дека за пристап до складиштето, покрај SSH со користење на gitolite, имаше уште еден влез што ви дозволуваше да испраќате заложби преку HTTPS. Во овој случај, git-http-backend се користеше за интеракција со Git, а автентикацијата беше извршена со помош на серверот Apache2 HTTP, кој ги потврдуваше ингеренциите со пристап до базата на податоци хостирана во DBMS на серверот master.php.net. Влезот беше дозволен не само со клучеви, туку и со редовна лозинка. Анализата на дневниците на http серверот потврди дека злонамерните промени се додадени преку HTTPS.

При проучувањето на дневниците, откриено е дека напаѓачите не се поврзале првиот пат, туку првично се обиделе да го најдат името на сметката, но откако го идентификувале, се логирале при првиот обид, т.е. однапред ги знаеле лозинките на Расмус и Никита, но не ги знаеле нивните најавувања. Доколку напаѓачите успеале да добијат пристап до DBMS, не е јасно зошто веднаш не го искористиле правилното најавување наведено таму. Ова несовпаѓање сè уште не доби сигурно објаснување. Хакирањето на master.php.net се смета за најверојатно сценарио, бидејќи овој сервер користел многу стар код и застарен оперативен систем, кој не бил ажуриран долго време и имал некорегирани пропусти.

Преземените дејства вклучуваа повторно инсталирање на околината на серверот master.php.net и префрлање на скрипти во новата верзија на PHP 8. Кодот за работа со DBMS беше изменет за да користи параметризирани прашања, што ја комплицира замената на SQL кодот. Алгоритмот bcrypt се користи за складирање на хашови на лозинки во базата на податоци (претходно, лозинките беа складирани со користење на несигурен хаш MD5). Постоечките лозинки се ресетираат и од вас е побарано да поставите нова лозинка преку формуларот за враќање на лозинката. Бидејќи пристапот до складиштата git.php.net и svn.php.net преку HTTPS беше поврзан со хашовите на MD5, беше одлучено да се остават git.php.net и svn.php.net во режим само за читање, а исто така да се преместат сите преостанатите за нив PECL екстензии складишта на GitHub, слични на главното складиште на PHP.

Извор: opennet.ru