{"id":99679,"date":"2021-04-07T10:22:44","date_gmt":"2021-04-07T08:22:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php"},"modified":"2021-04-07T10:22:44","modified_gmt":"2021-04-07T08:22:44","slug":"otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/otchyot-o-komprometaczii-git-repozitoriya-i-bazy-polzovatelej-proekta-php","title":{"rendered":"Rapport om kompromiss av git-repositoriet och anv\u00e4ndardatabasen f\u00f6r PHP-projektet.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De f\u00f6rsta resultaten av analysen av incidenten ang\u00e5ende uppt\u00e4ckten av tv\u00e5 skadliga commits med en bakd\u00f6rr i Git-repositoriet f\u00f6r PHP-projektet har offentliggjorts. Bakd\u00f6rren aktiveras vid en beg\u00e4ran med en speciellt utformad User Agent-header. Under studiet av angriparnas aktivitet drogs slutsatsen att servern git.php.net, d\u00e4r Git-repositoriet var placerat, inte hade blivit hackad, men databasen med utvecklarnas konton hade blivit komprometterad. <\/p>\n
Det utesluts inte att angriparna kunde ha laddat ner anv\u00e4ndardatabasen som lagrades i databasen p\u00e5 servern master.php.net. Inneh\u00e5llet p\u00e5 master.php.net har redan flyttats till den nya servern main.php.net, som har installerats fr\u00e5n grunden. Alla l\u00f6senord f\u00f6r utvecklarna, som anv\u00e4ndes f\u00f6r att f\u00e5 tillg\u00e5ng till php.net-infrastrukturen, har \u00e5terst\u00e4llts, och processen f\u00f6r att byta l\u00f6senord har initierats via en speciell \u00e5terst\u00e4llningsformul\u00e4r. Repositorierna git.php.net och svn.php.net f\u00f6rblir tillg\u00e4ngliga i skrivskyddat l\u00e4ge (utvecklingen har flyttats till GitHub). <\/p>\n
Efter uppt\u00e4ckten av den f\u00f6rsta skadliga commit som genomf\u00f6rdes via kontot av Rasmus Lerdorf, grundaren av PHP, gjordes antagandet att hans konto hade blivit hackat och Nikita Popov, en av de nyckelutvecklare inom PHP, rullade tillbaka \u00e4ndringarna och blockerade commit-r\u00e4ttigheterna f\u00f6r det problematiska kontot. Efter en tid ins\u00e5g man att blockeringen var meningsl\u00f6s, eftersom utan verifiering av commits genom digitala signer, kunde varje deltagare med tillg\u00e5ng till php-src-repositoriet g\u00f6ra en \u00e4ndring genom att anv\u00e4nda ett falskt f\u00f6rfattarnamn. <\/p>\n
Sedan skickade angriparna en skadlig commit i namn av Nikita sj\u00e4lv. Genom att analysera loggarna fr\u00e5n gitolite-tj\u00e4nsten, som anv\u00e4nds f\u00f6r att organisera tillg\u00e5ng till repositorier, gjordes ett f\u00f6rs\u00f6k att identifiera den deltagare som faktiskt hade gjort \u00e4ndringarna. Trots att alla commits registrerades fanns det inga loggar f\u00f6r de tv\u00e5 skadliga \u00e4ndringarna. Det blev klart att infrastrukturen hade komprometterats, eftersom commits hade lagts till direkt, utan att g\u00e5 igenom anslutningen via gitolite. <\/p>\n