OpenSSF (Open Source Security Foundation), som har skapats under Linux Foundation för att öka sÀkerheten för öppen kÀllkod, har varnat gemenskapen om att det har upptÀckts aktiviteter kopplade till försök att fÄ kontroll över populÀra öppna projekt, vilket pÄminner om angriparnas stil i processen av att förbereda för att införa en baksida i projektet xz. Precis som i attacken mot xz försöker misstÀnkta individer, som tidigare inte har varit djupt involverade i utvecklingen, anvÀnda social ingenjörskonst för att nÄ sina mÄl.
Angriparna har kommunicerat med medlemmar av styrelsen för OpenJS Foundation, som fungerar som en neutral plattform för gemensam utveckling av öppna JavaScript-projekt sÄsom Node.js, jQuery, Appium, Dojo, PEP, Mocha och webpack. I korrespondensen, dÀr flera externa utvecklare med tveksam historia inom utvecklingen av öppen kÀllkod deltog, gjordes försök att övertyga ledningen om behovet av att uppdatera ett av de populÀra JavaScript-projekten som stöds av OpenJS.
Som skÀl för uppdateringen angavs behovet av att lÀgga till "skydd mot kritiska sÄrbarheter". Inga detaljer om sjÀlva sÄrbarheterna gavs. För att genomföra Àndringarna föreslog den misstÀnkta utvecklaren att inkludera sig sjÀlv bland projektets medarbetare, dÀr han tidigare endast haft en liten roll. Dessutom har liknande misstÀnkta scenarier för pÄtvingning av sin kod identifierats i ytterligare tvÄ populÀra JavaScript-projekt som inte Àr kopplade till OpenJS. Det antas att fallen inte Àr ensamma och att de som stödjer öppna projekt bör förbli vaksamma vid mottagandet av kod och godkÀnnandet av nya utvecklare.
Bland tecken som kan indikera illasinnad aktivitet inkluderar vÀnligt men samtidigt aggressivt och pÄtrÀngande beteende frÄn mindre kÀnda medlemmar i samhÀllet som nÀrmar sig projektledare eller handledare med avsikt att frÀmja sin kod eller erbjuda status som handledare. Det Àr ocksÄ vÀrt att notera bildandet av en stödförening kring de frÀmjade idéerna, bestÄende av pÄhittade personligheter som tidigare inte deltagit i utvecklingen eller nyligen anslutit sig till gemenskapen.
NÀr man tar emot Àndringar bör man se som tecken pÄ potentiellt skadliga handlingar försök att inkludera binÀra data i förfrÄgningar om sammanslagning (till exempel i xz-bakdörren överfördes via arkiv för att testa avskiljaren) eller invecklad eller svÄrförstÄelig kod. Man bör vara uppmÀrksam pÄ provförsök att göra förÀndringar som nÄgot minskar sÀkerheten, skickade för att bedöma gemenskapens reaktion och kontrollera om det finns personer som följer förÀndringarna (till exempel i xz-funktionen Safe_fprintf ersattes med fprintf). Ovanliga förÀndringar i kompilerings-, bygg- och distributionsmetoder, involvering av tredjepartsartefakter och en kÀnsla av brÄdska för att acceptera Àndringar bör ocksÄ vÀcka misstankar.
KĂ€lla: opennet.ru
