De OpenSSF (Open Source Security Foundation), opgericht onder het toezicht van de Linux Foundation om de veiligheid van open source software te verbeteren, heeft de gemeenschap gewaarschuwd voor de ontdekking van activiteiten die verband houden met pogingen om controle te krijgen over populaire open source projecten. Deze activiteiten lijken op de manieren waarop aanvallers te werk gaan bij de voorbereiding van het plaatsen van een backdoor in het project xz. Vergelijkbaar met de aanval op xz, probeerden twijfelende persoonlijkheden, die eerder niet betrokken waren bij de ontwikkeling, sociale engineering technieken te gebruiken om hun doelen te bereiken.
De aanvallers begonnen correspondentie met leden van de bestuursraad van de OpenJS Foundation, die fungeert als een neutraal platform voor de gezamenlijke ontwikkeling van open JavaScript-projecten, zoals Node.js, jQuery, Appium, Dojo, PEP, Mocha en webpack. In de correspondentie, waaraan verschillende externe ontwikkelaars met een twijfelachtige geschiedenis van open source ontwikkeling deelnamen, werden pogingen ondernomen om het bestuur te overtuigen van de noodzaak om een van de populaire JavaScript-projecten, beheerd door de OpenJS organisatie, bij te werken.
Als reden voor de update werd de noodzaak genoemd om "bescherming tegen kritieke kwetsbaarheden" toe te voegen. Echter, er werden geen details gegeven over de aard van de kwetsbaarheden. Voor de implementatie van de veranderingen stelde de verdachte ontwikkelaar voor om hem te betrekken bij het project waar hij eerder slechts een kleine bijdrage aan had geleverd. Bovendien zijn soortgelijke verdachte scenario's van het opleggen van zijn code ontdekt in nog twee populaire JavaScript-projecten, die niet verbonden zijn met de OpenJS organisatie. Het wordt verondersteld dat deze gevallen niet uniek zijn en dat degenen die open projecten begeleiden, waakzaam moeten blijven bij het accepteren van code en het goedkeuren van nieuwe ontwikkelaars.
Onder de tekenen die kunnen wijzen op kwaadwillige activiteiten, wordt vermeld dat onbekende deelnemers uit de gemeenschap vriendelijk, maar tegelijkertijd agressief en opdringerig contact opnemen met begeleiders of projectleiders met het idee om hun code te promoten of de status van begeleider te verkrijgen. Er moet ook aandacht worden besteed aan het ontstaan van een ondersteuningsgroep rond de gepromote ideeƫn, gevormd uit fictieve personen die eerder niet betrokken waren bij de ontwikkeling of recentelijk zijn toegetreden tot de gemeenschap.
Bij het aanbrengen van wijzigingen moeten als tekenen van potentieel schadelijke activiteiten worden beschouwd die pogingen om binaire gegevens op te nemen in pull-verzoeken (bijvoorbeeld, in xz werd een backdoor in archieven verzonden voor het testen van de extractor) of onduidelijke of moeilijk te begrijpen code. Er moet worden opgelet voor proefpogingen tot het aanbrengen van wijzigingen die de veiligheid slechts iets verlagen, gestuurd om de reactie van de gemeenschap te beoordelen en te controleren of er personen zijn die de wijzigingen volgen (bijvoorbeeld, in xz werd de functie Safe_fprintf vervangen door fprintf). Ook ongewone wijzigingen in de methoden voor compileren, bouwen en implementeren van het project, het inzetten van externe artifacten en de indruk creƫren dat er dringend wijzigingen moeten worden aangebracht, zouden argwaan moeten wekken.
Bron: opennet.ru
