{"id":99606,"date":"2021-03-29T22:22:34","date_gmt":"2021-03-29T20:22:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-git-repozitorii-proekta-php-vyyavleny-vredonosnye-izmeneniya"},"modified":"2021-03-29T22:22:34","modified_gmt":"2021-03-29T20:22:34","slug":"v-git-repozitorii-proekta-php-vyyavleny-vredonosnye-izmeneniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-git-repozitorii-proekta-php-vyyavleny-vredonosnye-izmeneniya","title":{"rendered":"In de Git-repository van het PHP-project zijn schadelijke wijzigingen gedetecteerd","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De ontwikkelaars van het PHP-project hebben gewaarschuwd voor de compromittering van de Git-repository van het project en voor het ontdekken van twee kwaadaardige commits die op 28 maart aan de php-src-repository zijn toegevoegd namens Rasmus Lerdorf, de oprichter van PHP, en Nikita Popov, een van de sleutelontwikkelaars van PHP. <\/p>\n
Aangezien er geen zekerheid bestaat over de betrouwbaarheid van de server waarop de Git-repository was ondergebracht, hebben de ontwikkelaars besloten dat het onderhouden van de Git-infrastructuur in eigen beheer extra beveiligingsrisico's met zich meebrengt en hebben ze de referentierepository verplaatst naar het platform GitHub, dat als primair moet worden gebruikt. Alle wijzigingen moeten vanaf nu naar GitHub worden gestuurd en niet naar git.php.net, en bij ontwikkeling kan nu ook de webinterface van GitHub worden gebruikt. <\/p>\n
In de eerste kwaadaardige commit, vermomd als een correctie van een typefout in het bestand ext\/zlib\/zlib.c, werd een wijziging doorgevoerd die PHP-code activeert die is doorgegeven in de HTTP-header User Agent, als de inhoud begint met het woord \u2018zerodium\u2019. Nadat de ontwikkelaars de kwaadaardige wijziging opmerkte en deze ongedaan maakte, verscheen er een tweede commit in de repository die de actie van de PHP-ontwikkelaars ongedaan maakte en de kwaadaardige wijziging herstelde. <\/p>\n
In de toegevoegde code is er een regel \u2018REMOVETHIS: sold to zerodium, mid 2017\u2019, die zou kunnen suggereren dat er sinds 2017 een andere, beter gecamoufleerde kwaadaardige wijziging in de code aanwezig is, of een onverholpen kwetsbaarheid die is verkocht aan Zerodium, een bedrijf dat zich bezighoudt met het kopen van 0-day kwetsbaarheden (Zerodium heeft geantwoord dat ze geen informatie over de kwetsbaarheid in PHP hebben gekocht). <\/p>\n