De ontwikkelaars van het PHP-project hebben gewaarschuwd voor de compromittering van de Git-repository van het project en voor het ontdekken van twee kwaadaardige commits die op 28 maart aan de php-src-repository zijn toegevoegd namens Rasmus Lerdorf, de oprichter van PHP, en Nikita Popov, een van de sleutelontwikkelaars van PHP.
Aangezien er geen zekerheid bestaat over de betrouwbaarheid van de server waarop de Git-repository was ondergebracht, hebben de ontwikkelaars besloten dat het onderhouden van de Git-infrastructuur in eigen beheer extra beveiligingsrisico's met zich meebrengt en hebben ze de referentierepository verplaatst naar het platform GitHub, dat als primair moet worden gebruikt. Alle wijzigingen moeten vanaf nu naar GitHub worden gestuurd en niet naar git.php.net, en bij ontwikkeling kan nu ook de webinterface van GitHub worden gebruikt.
In de eerste kwaadaardige commit, onder het mom van het corrigeren van een typfout in het bestand ext/zlib/zlib.c, werd een wijziging aangebracht die PHP-code uitvoert die is doorgegeven in de HTTP-header User Agent, als de inhoud begint met het woord 'zerodium'. Nadat de ontwikkelaars de kwaadaardige wijziging hadden opgemerkt en deze ongedaan maakten, verscheen er een tweede commit in de repository die de acties van de PHP-ontwikkelaars ongedaan maakte en de kwaadaardige wijziging herstelde.
In de toegevoegde code staat de regel 'REMOVETHIS: sold to zerodium, mid 2017', wat kan impliceren dat er sinds 2017 een andere, beter gecamoufleerde kwaadaardige wijziging of een ongepatchte kwetsbaarheid in de code zit die is verkocht aan het bedrijf Zerodium, dat zich bezighoudt met de inkoop van 0-day kwetsbaarheden (het bedrijf Zerodium heeft geantwoord dat het geen informatie over een kwetsbaarheid in PHP heeft gekocht).
Op dit moment is er nog geen gedetailleerde informatie over het incident, en wordt alleen verondersteld dat de wijzigingen zijn toegevoegd als gevolg van een hack de server git.php.net, en niet door de compromittering van individuele ontwikkelaarsaccounts. Er is begonnen met het analyseren van de repository op andere kwaadaardige wijzigingen naast de gevonden problemen. Iedereen die wil, wordt uitgenodigd om te beoordelen, en als er verdachte wijzigingen worden aangetroffen, dient deze informatie te worden verzonden naar security@php.net.
Wat betreft de overgang naar GitHub, moeten ontwikkelaars toegang tot de nieuwe repository krijgen door lid te worden van de PHP-organisatie. Degenen die geen deel uitmaken van de PHP-ontwikkelaars op GitHub, dienen contact op te nemen met Nikita Popov via e-mail nikic@php.net. Voor toevoeging is het verplicht om tweefactorauthenticatie in te schakelen. Zodra de juiste rechten zijn verkregen, is het voldoende om het commando "git remote set-url origin git@github.com:php/php-src.git" uit te voeren. Daarnaast wordt overwogen om een verplichte digitale handtekening voor commits in te voeren. Tevens wordt voorgesteld om directe wijzigingen zonder voorafgaand review te verbieden.
Bron: opennet.ru
