Zhvilluesit e projektit PHP paralajmëruan për një kompromis në Git-repositorin e projektit dhe zbuluan dy komitete keqdashëse, të shtuar më 28 mars në repositorin php-src në emër të Rasmus Lerdorf, themeluesit të PHP, dhe Nikita Popov, një nga zhvilluesit kryesorë të PHP.
Duke qenë se nuk ka siguri për besueshmërinë e serverit ku ishte vendosur Git-repositorit, zhvilluesit vendosën se mbajtja e infrastrukturës Git me forcat e tyre krijonte rreziqe të tjera sigurie dhe e transferuan repositorin standard në platformën GitHub, e cila propozohet të përdoret si primare. Të gjitha ndryshimet tani duhet të dërgohen në GitHub, jo në git.php.net, duke përfshirë zhvillimin që tani mund të përdorë ndërfaqen web të GitHub.
NĂ« komitetin e parĂ« keqdashĂ«s, nĂ«n maskimin e njĂ« korrigjimi tĂ« njĂ« gabimi nĂ« skedarin ext/zlib/zlib.c, u bĂ« njĂ« ndryshim qĂ« ekzekuton kodin PHP tĂ« dĂ«rguar nĂ« HTTP-headin User Agent, nĂ«se pĂ«rmbajtja fillon me fjalĂ«n âzerodiumâ. Pas qĂ« zhvilluesit vunĂ« re ndryshimin keqdashĂ«s dhe e anuluan atĂ«, nĂ« repositor u shfaq njĂ« komitet i dytĂ«, i cili anulojĂ« veprimet e zhvilluesve tĂ« PHP dhe riktheu ndryshimin keqdashĂ«s.
Në kodin e shtuar ka një rresht "REMOVETHIS: sold to zerodium, mid 2017", i cili mund të aludojë se që nga viti 2017 në kod ka një ndryshim tjetër, të maskuar mirë, keqdashës, ose një dobësi të pa riparuar, e cila është shitur kompanisë Zerodium, e cila merret me blerjen e dobësive 0-day (kompania Zerodium u përgjigj se nuk ka blerë informacione për dobësitë në PHP).
Aktualisht nuk ka informacione të detajuara për incidentin, dhe supozohet vetëm se ndryshimet ishin shtuar si rezultat i hack-imit në git.php.net, dhe jo si rezultat i komprometimit të llogarive individuale të zhvilluesve. Ka filluar analiza e repositorit për të zbuluar ndryshime të tjera keqdashëse përveç problemeve të zbuluara. Të gjithë ata që dëshirojnë janë të ftuar të rishikojnë, dhe nëse dëshmojnë ndryshime të dyshimta, duhet të dërgojnë informacionin në security@php.net. serverë git.php.net, dhe jo komprometimi i llogarive individuale të zhvilluesve. Ka filluar analiza e repositorit për të kërkuar të tjera ndryshime keqdashëse përveç atyre të zbuluara. Të gjithë ata që dëshirojnë janë të ftuar të rishikojnë, dhe nëse zbulojnë ndryshime të dyshimta, duhet të dërgojnë informacionin në security@php.net.
Sa i përket kalimit në GitHub, për të marrë qasje për të shkruar në depozitarin e ri, anëtarët e zhvillimit duhet të bëhen pjesë e organizatës PHP. Ata që nuk janë përfshirë në numrin e zhvilluesve PHP në GitHub, duhet të kontaktojnë Nikita Popov në email nikic@php.net. Një kërkesë e domosdoshme për shtesën është përfshirja e autentifikimit me dy faktorë. Pas marrjes së të drejtave të nevojshme, për të ndryshuar depozitarin, mjafton të ekzekutoni komandën "git remote set-url origin git@github.com:php/php-src.git". Shtesë, po shqyrtohet kalimi në verifikimin e detyrueshëm të komiteteve me nënshkrimin digjital të zhvilluesve. Po ashtu, propozohet ndalimi i shtimit të drejtpërdrejtë të ndryshimeve që nuk kanë kaluar një shqyrtim paraprak.
Burimi: opennet.ru
