Os desenvolvedores do projeto PHP alertaram sobre a comprometimento do repositório Git do projeto e a descoberta de dois commits maliciosos, adicionados em 28 de março no repositório php-src em nome de Rasmus Lerdorf, fundador do PHP, e Nikita Popov, um dos principais desenvolvedores do PHP.
Como não há confiança na confiabilidade do servidor onde o repositório Git estava hospedado, os desenvolvedores decidiram que manter a infraestrutura Git por conta própria cria riscos adicionais de segurança e transferiram o repositório de referência para a plataforma GitHub, que deve ser utilizada como primária. Todas as modificações agora devem ser enviadas para o GitHub, e não para git.php.net, incluindo durante o desenvolvimento, onde agora pode-se usar a interface web do GitHub.
No primeiro commit malicioso, disfarçado como uma correção de erro no arquivo ext/zlib/zlib.c, foi feita uma alteração que executa código PHP passado no cabeçalho HTTP User Agent, se o conteúdo começar com a palavra "zerodium". Após os desenvolvedores perceberem a alteração maliciosa e revertê-la, um segundo commit apareceu no repositório, que cancelou a ação dos desenvolvedores do PHP e reverteu a alteração maliciosa.
No código adicionado, há uma linha "REMOVETHIS: sold to zerodium, mid 2017", que pode sugerir que desde 2017 existe outra alteração maliciosa camuflada no código ou uma vulnerabilidade não corrigida, vendida para a Zerodium, uma empresa especializada na compra de vulnerabilidades 0-day (a Zerodium respondeu que não adquiriu informações sobre vulnerabilidades no PHP).
Atualmente, não há informações detalhadas sobre o incidente, supõe-se apenas que as alterações foram adicionadas como resultado de um ataque ao git.php.net, e não pela comprometimento de contas individuais de desenvolvedores. Uma análise do repositório está em andamento para detectar outras alterações maliciosas além dos problemas identificados. Todos que desejarem estão convidados a revisar; se houver alterações suspeitas, as informações devem ser enviadas para security@php.net. servidor git.php.net, e não a compromissão de contas individuais de desenvolvedores. Começou a análise do repositório em busca de outras alterações maliciosas além dos problemas identificados. Todos os interessados estão convidados a revisar; se alterações suspeitas forem detectadas, as informações devem ser enviadas para security@php.net.
Quanto à transição para o GitHub, para obter acesso de escrita ao novo repositório, os participantes do desenvolvimento precisam se unir à organização PHP. Aqueles que não estão entre os desenvolvedores PHP no GitHub devem entrar em contato com Nikita Popov pelo email nikic@php.net. Um requisito obrigatório para adição é a ativação da autenticação de dois fatores. Após obter os direitos adequados, é suficiente executar o comando "git remote set-url origin git@github.com:php/php-src.git" para alterar o repositório. Além disso, a possibilidade de implementação de uma assinatura digital obrigatória para commits está sendo considerada. Também é sugerido proibir a adição direta de alterações sem uma análise prévia.
Fonte: opennet.ru
