Utvecklarna av PHP-projektet har varnat för en kompromettering av Git-repositoriet och upptÀckten av tvÄ skadliga commits, som lades till den 28 mars i php-src-repositoriet i namnet pÄ Rasmus Lerdorf, grundaren av PHP, och Nikita Popov, en av PHP:s nyckelutvecklare.
Eftersom det inte finns nÄgon sÀkerhet kring pÄlitligheten hos servern dÀr Git-repositoriet var placerat, beslutade utvecklarna att upprÀtthÄlla Git-infrastrukturen pÄ egen hand, vilket skapar ytterligare sÀkerhetsrisker, och flyttade det referens-repositoriet till GitHub, som nu föreslÄs anvÀndas som primÀr. FrÄn och med nu ska alla Àndringar skickas till GitHub, snarare Àn git.php.net, och det Àr nu möjligt att anvÀnda GitHubs webbgrÀnssnitt Àven vid utveckling.
I den första skadliga committen, under förevÀndningen av att ÄtgÀrda ett stavfel i filen ext/zlib/zlib.c, gjordes en Àndring som kör PHP-kod som skickas i HTTP-headern User Agent, om innehÄllet börjar med ordet "zerodium". Efter att utvecklarna upptÀckte den skadliga Àndringen och Ängrade den dök en andra commit upp i repositoriet som överförde PHP-utvecklarnas ÄtgÀrd och ÄterstÀllde den skadliga Àndringen.
I den tillagda koden finns en rad "REMOVETHIS: sold to zerodium, mid 2017", som kan antyda att det sedan 2017 finns en annan, kvalitativt kamouflerad, skadlig Àndring i koden eller en ofixad sÄrbarhet som sÄldes till Zerodium, ett företag som köper in 0-dagars sÄrbarheter (Zerodium har svarat att de inte har köpt information om sÄrbarheten i PHP).
För nÀrvarande finns det ingen detaljerad information om incidenten, det föreslÄs bara att Àndringarna lades till pÄ grund av en hackning av git.php.net, snarare Àn att enskilda utvecklares konton komprometterades. Analysen av repositoriet har inletts för att identifiera andra skadliga Àndringar utöver de upptÀckta problemen. Alla intresserade inbjuds att granska, och vid misstÀnkta Àndringar bör information skickas till security@php.net. servern git.php.net, istÀllet för att enskilda utvecklares konton skulle ha blivit komprometterade. Analysen av repositoriet pÄgÄr för att upptÀcka andra skadliga förÀndringar förutom de identifierade problemen. Alla som vill att bli granskare bjuds in, och om misstÀnkta förÀndringar som upptÀckts, bör information skickas till security@php.net.
NÀr det gÀller övergÄngen till GitHub mÄste utvecklare som vill fÄ skrivbehörighet till det nya repoet gÄ med i PHP-organisationen. De som inte Àr med i PHP-utvecklarna pÄ GitHub bör kontakta Nikita Popov via email nikic@php.net. Ett krav för att bli tillagd Àr att tvÄfaktorsautentisering mÄste vara aktiverad. NÀr rÀttigheterna har beviljats, rÀcker det att köra kommandot "git remote set-url origin git@github.com:php/php-src.git" för att byta repo. Det övervÀgs ocksÄ att krÀva digital signatur för att verifiera commit. Dessutom föreslÄs det att direkt tillÀgg av Àndringar utan föregÄende granskning ska förbjudas.
KĂ€lla: opennet.ru
