PHP പ്രോജക്റ്റിന്റെ Git ശേഖരണത്തിൽ ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ കണ്ടെത്തി

PHP പ്രോജക്റ്റിൻ്റെ ഡെവലപ്പർമാർ പ്രോജക്റ്റിൻ്റെ Git റിപ്പോസിറ്ററിയുടെ വിട്ടുവീഴ്ചയെക്കുറിച്ചും php-src ശേഖരണത്തിൽ ചേർത്ത രണ്ട് ക്ഷുദ്ര കമ്മിറ്റുകളുടെ കണ്ടെത്തലിനെക്കുറിച്ചും മുന്നറിയിപ്പ് നൽകി, മാർച്ച് 28 ന് PHP സ്ഥാപകനായ റാസ്മസ് ലെർഡോർഫ്, നികിത പോപോവ് എന്നിവരെ പ്രതിനിധീകരിച്ച്. PHP യുടെ പ്രധാന ഡെവലപ്പർമാർ.

Git റിപ്പോസിറ്ററി ഹോസ്റ്റ് ചെയ്‌തിരിക്കുന്ന സെർവറിൻ്റെ വിശ്വാസ്യതയിൽ വിശ്വാസമില്ലാത്തതിനാൽ, Git ഇൻഫ്രാസ്ട്രക്ചർ സ്വന്തമായി പരിപാലിക്കുന്നത് അധിക സുരക്ഷാ അപകടങ്ങൾ സൃഷ്ടിക്കുമെന്ന് ഡവലപ്പർമാർ തീരുമാനിക്കുകയും റഫറൻസ് ശേഖരം GitHub പ്ലാറ്റ്‌ഫോമിലേക്ക് മാറ്റുകയും ചെയ്തു, അത് ഉപയോഗിക്കാൻ നിർദ്ദേശിക്കുന്നു. പ്രാഥമികമായി. എല്ലാ മാറ്റങ്ങളും ഇപ്പോൾ GitHub-ലേക്ക് അയയ്‌ക്കണം, വികസിപ്പിക്കുമ്പോൾ ഉൾപ്പെടെ git.php.net-ലേക്ക് അയയ്‌ക്കരുത്, നിങ്ങൾക്ക് ഇപ്പോൾ GitHub വെബ് ഇൻ്റർഫേസ് ഉപയോഗിക്കാം.

ആദ്യത്തെ ക്ഷുദ്ര കമ്മിറ്റിൽ, ext/zlib/zlib.c ഫയലിലെ അക്ഷരത്തെറ്റ് പരിഹരിക്കുന്നതിൻ്റെ മറവിൽ, ഉള്ളടക്കം "zerodium" എന്ന വാക്കിൽ ആരംഭിക്കുകയാണെങ്കിൽ, ഉപയോക്തൃ ഏജൻ്റ് HTTP ഹെഡറിൽ നൽകിയ PHP കോഡ് പ്രവർത്തിപ്പിക്കുന്ന ഒരു മാറ്റം വരുത്തി. ". ഡവലപ്പർമാർ ക്ഷുദ്രകരമായ മാറ്റം ശ്രദ്ധിക്കുകയും അത് പഴയപടിയാക്കുകയും ചെയ്ത ശേഷം, രണ്ടാമത്തെ കമ്മിറ്റ് റിപ്പോസിറ്ററിയിൽ പ്രത്യക്ഷപ്പെട്ടു, ഇത് ക്ഷുദ്രകരമായ മാറ്റം പഴയപടിയാക്കാനുള്ള PHP ഡവലപ്പർമാരുടെ നടപടിയെ പഴയപടിയാക്കി.

ചേർത്ത കോഡിൽ "REMOVETHIS: zerodium-ലേക്ക് വിറ്റു, 2017-ൻ്റെ മധ്യത്തിൽ," എന്ന വരി അടങ്ങിയിരിക്കുന്നു, 2017 മുതൽ കോഡിൽ മറ്റൊരു, നന്നായി മറച്ചുവെച്ച, ക്ഷുദ്രകരമായ മാറ്റമോ അല്ലെങ്കിൽ 0-ദിവസം വാങ്ങുന്ന ഒരു കമ്പനിയായ Zerodium-ന് വിൽക്കുന്ന ശരിയാക്കാത്ത അപകടസാധ്യതയോ ഉണ്ടെന്ന് സൂചന നൽകിയേക്കാം. കേടുപാടുകൾ (പിഎച്ച്പി ദുർബലതയെക്കുറിച്ചുള്ള വിവരങ്ങൾ വാങ്ങിയിട്ടില്ലെന്ന് സീറോഡിയം പ്രതികരിച്ചു).

സംഭവത്തെക്കുറിച്ച് നിലവിൽ വിശദമായ വിവരങ്ങളൊന്നുമില്ല, പക്ഷേ ഒരു ഹാക്കിന്റെ ഫലമായാണ് മാറ്റങ്ങൾ ചേർത്തതെന്ന് അനുമാനിക്കപ്പെടുന്നു. സെർവർ git.php.net എന്ന വിലാസത്തിൽ മാത്രമേ ഇത് ഉപയോഗിക്കാൻ കഴിയൂ, വ്യക്തിഗത ഡെവലപ്പർ അക്കൗണ്ടുകളുടെ വിട്ടുവീഴ്ചയല്ല. തിരിച്ചറിഞ്ഞ പ്രശ്നങ്ങൾക്ക് പുറമേ മറ്റ് ക്ഷുദ്രകരമായ മാറ്റങ്ങൾക്കായുള്ള ശേഖരത്തിന്റെ വിശകലനം ആരംഭിച്ചു. മാറ്റങ്ങൾ അവലോകനം ചെയ്യാൻ താൽപ്പര്യമുള്ള ആർക്കും സ്വാഗതം. എന്തെങ്കിലും സംശയാസ്പദമായ മാറ്റങ്ങൾ നിങ്ങൾ കണ്ടെത്തുകയാണെങ്കിൽ, ദയവായി security@php.net എന്ന വിലാസത്തിലേക്ക് വിവരങ്ങൾ അയയ്ക്കുക.

GitHub-ലേക്കുള്ള പരിവർത്തനത്തെ സംബന്ധിച്ചിടത്തോളം, പുതിയ റിപ്പോസിറ്ററിയിലേക്ക് എഴുത്ത് ആക്‌സസ് ലഭിക്കുന്നതിന്, സംഭാവകർ PHP ഓർഗനൈസേഷനിലെ അംഗങ്ങളായിരിക്കണം. GitHub-ലെ PHP ഡെവലപ്പർമാരുടെ എണ്ണത്തിൽ ഉൾപ്പെടാത്തവർ nikic@php.net എന്ന ഇമെയിൽ വിലാസത്തിൽ നികിത പോപോവിനെ ബന്ധപ്പെടണം. ചേർക്കാൻ, രണ്ട്-ഘടക പ്രാമാണീകരണം പ്രവർത്തനക്ഷമമാക്കണം. ഉചിതമായ അവകാശങ്ങൾ ലഭിച്ച ശേഷം, റിപ്പോസിറ്ററി മാറ്റാൻ, "git remote set-url origin git@github.com:php/php-src.git" എന്ന കമാൻഡ് പ്രവർത്തിപ്പിച്ചാൽ മതി. കൂടാതെ, ഡെവലപ്പറുടെ ഡിജിറ്റൽ ഒപ്പുള്ള കമ്മിറ്റുകളുടെ നിർബന്ധിത സർട്ടിഫിക്കേഷനിലേക്ക് മാറുന്നതിന്റെ പ്രശ്നവും പരിഗണിക്കപ്പെടുന്നു. പ്രാഥമിക അവലോകനത്തിന് വിധേയമാകാത്ത മാറ്റങ്ങൾ നേരിട്ട് ചേർക്കുന്നത് നിരോധിക്കാനും നിർദ്ദേശിക്കപ്പെട്ടിട്ടുണ്ട്.

അവലംബം: opennet.ru