Vývojári projektu PHP upozornili na kompromitáciu Git repozitára projektu a zistenie dvoch škodlivých commitov, pridaných 28. marca do repozitára php-src menom Rasmusa Lerdorfa, zakladateľa PHP, a Nikitu Popova, jedného z kľúčových vývojárov PHP.
Keďže niet istoty v spoľahlivosti servera, na ktorom bol umiestnený Git repozitár, vývojári sa rozhodli, že udržiavanie Git infraštruktúry z vlastných síl predstavuje dodatočné bezpečnostné riziká a presunuli referenčný repozitár na platformu GitHub, ktorú je odporúčané používať ako primárnu. Všetky zmeny by sa odteraz mali posielať na GitHub, nie na git.php.net, vrátane toho, že pri vývoji je teraz možné využívať webové rozhranie GitHub.
V prvom škodlivom commite sa pod zámienkou opravy preklepu v súbore ext/zlib/zlib.c uskutočnila zmena, ktorá spustila PHP kód zaslaný v HTTP hlavičke User Agent, ak obsah začínal slovom „zerodium“. Po tom, čo si vývojári všimli škodlivú zmenu a zrušili ju, sa v repozitári objavil druhý commit, ktorý zrušil akciu vývojárov PHP a vrátil škodlivú zmenu.
V pridanom kode sa nachádza riadok „REMOVETHIS: sold to zerodium, mid 2017“, ktorý môže naznačovať, že v kóde sa od roku 2017 nachádza iná, kvalitne zamaskovaná, škodlivá zmena alebo neopravená zraniteľnosť, predaná spoločnosti Zerodium, ktorá sa zaoberá výkupom 0-day zraniteľností (spoločnosť Zerodium odpovedala, že neukúpila informácie o zraniteľnosti v PHP).
V súčasnosti zatiaľ nie sú podrobné informácie o incidente, predpokladá sa len, že zmeny boli pridané v dôsledku hackerského útoku na git.php.net, a nie kompromitácie jednotlivých účtov vývojárov. Začala sa analýza repozitára na prítomnosť ďalších škodlivých zmien okrem zistených problémov. Na recenzovanie sú pozvaní všetci záujemcovia, pri zistení podozrivých zmien je potrebné zaslať informácie na security@php.net. servera git.php.net, a nie kompromitácie jednotlivých účtov vývojárov. Začala sa analýza repozitára na prítomnosť ďalších škodlivých zmien okrem zistených problémov. Na recenzovanie sú pozvaní všetci záujemcovia, pri zistení podozrivých zmien je potrebné zaslať informácie na security@php.net.
Pokiaľ ide o prechod na GitHub, na získanie prístupu na zápis do nového repozitára, musia sa vývojári prihlásiť do organizácie PHP. Tí, ktorí nie sú medzi vývojármi PHP na GitHub, by sa mali obrátiť na Nikitu Popova na email nikic@php.net. Prvým požiadavkom na pridanie je povinné zapnutie dvojfaktorovej autentifikácie. Po získaní potrebných práv na zmenu repozitára stačí spustiť príkaz „git remote set-url origin git@github.com:php/php-src.git“. Okrem toho sa zvažuje prechod na povinné overovanie commitov digitálnym podpisom vývojára. Navrhuje sa tiež zakázať priame pridávanie zmien, ktoré neprešli predchádzajúcim preskúmaním.
Zdroj: opennet.ru
