{"id":115126,"date":"2024-04-17T14:30:08","date_gmt":"2024-04-17T12:30:08","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz"},"modified":"2024-04-17T14:30:08","modified_gmt":"2024-04-17T12:30:08","slug":"popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/popytki-polucheniya-kontrolya-nad-otkrytymi-proektami-pohozhie-na-sluchaj-s-paketom-xz","title":{"rendered":"Pogingen om controle te verkrijgen over open-sourceprojecten, vergelijkbaar met de situatie met het xz-pakket","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De OpenSSF (Open Source Security Foundation), opgericht onder het toezicht van de Linux Foundation om de veiligheid van open source software te verbeteren, heeft de gemeenschap gewaarschuwd voor de ontdekking van activiteiten die verband houden met pogingen om controle te krijgen over populaire open source projecten. Deze activiteiten lijken op de manieren waarop aanvallers te werk gaan bij de voorbereiding van het plaatsen van een backdoor in het project xz. Vergelijkbaar met de aanval op xz, probeerden twijfelende persoonlijkheden, die eerder niet betrokken waren bij de ontwikkeling, sociale engineering technieken te gebruiken om hun doelen te bereiken. <\/p>\n
De aanvallers begonnen correspondentie met leden van de bestuursraad van de OpenJS Foundation, die fungeert als een neutraal platform voor de gezamenlijke ontwikkeling van open JavaScript-projecten, zoals Node.js, jQuery, Appium, Dojo, PEP, Mocha en webpack. In de correspondentie, waaraan verschillende externe ontwikkelaars met een twijfelachtige geschiedenis van open source ontwikkeling deelnamen, werden pogingen ondernomen om het bestuur te overtuigen van de noodzaak om een van de populaire JavaScript-projecten, beheerd door de OpenJS organisatie, bij te werken. <\/p>\n
De reden voor de update was de noodzaak om \"bescherming tegen alle kritische kwetsbaarheden\" toe te voegen. Er werden geen details gegeven over de aard van de kwetsbaarheden. Voor de uitvoering van de wijzigingen stelde de verdachte ontwikkelaar voor om hem op te nemen in het aantal begeleiders van het project, waarin hij voorheen slechts een kleine rol had gespeeld. Daarnaast zijn soortgelijke verdachte scenario's van het opleggen van zijn code ook ontdekt in twee populaire JavaScript-projecten die niet verbonden zijn met de OpenJS-organisatie. Er wordt aangenomen dat deze gevallen niet uniek zijn en dat de begeleiders van open source-projecten waakzaam moeten blijven bij het accepteren van code en het goedkeuren van nieuwe ontwikkelaars. <\/p>\n
Onder de tekenen die kunnen wijzen op kwaadwillige activiteiten, wordt vermeld dat onbekende deelnemers uit de gemeenschap vriendelijk, maar tegelijkertijd agressief en opdringerig contact opnemen met begeleiders of projectleiders met het idee om hun code te promoten of de status van begeleider te verkrijgen. Er moet ook aandacht worden besteed aan het ontstaan van een ondersteuningsgroep rond de gepromote idee\u00ebn, gevormd uit fictieve personen die eerder niet betrokken waren bij de ontwikkeling of recentelijk zijn toegetreden tot de gemeenschap. <\/p>\n
Bij het aanbrengen van wijzigingen moeten als tekenen van potentieel schadelijke activiteiten worden beschouwd die pogingen om binaire gegevens op te nemen in pull-verzoeken (bijvoorbeeld, in xz werd een backdoor in archieven verzonden voor het testen van de extractor) of onduidelijke of moeilijk te begrijpen code. Er moet worden opgelet voor proefpogingen tot het aanbrengen van wijzigingen die de veiligheid slechts iets verlagen, gestuurd om de reactie van de gemeenschap te beoordelen en te controleren of er personen zijn die de wijzigingen volgen (bijvoorbeeld, in xz werd de functie Safe_fprintf vervangen door fprintf). Ook ongewone wijzigingen in de methoden voor compileren, bouwen en implementeren van het project, het inzetten van externe artifacten en de indruk cre\u00ebren dat er dringend wijzigingen moeten worden aangebracht, zouden argwaan moeten wekken. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"