PHP loyihasini ishlab chiquvchilari loyihaning Git ombori murosaga kelishi va PHP asoschisi Rasmus Lerdorf va Nikita Popov nomidan 28 mart kuni php-src omboriga qo‘shilgan ikkita zararli jinoyatlar aniqlangani haqida ogohlantirdi. PHP ning asosiy ishlab chiquvchilari.
Git ombori joylashgan serverning ishonchliligiga ishonch yo'qligi sababli, ishlab chiquvchilar Git infratuzilmasini mustaqil ravishda saqlash qo'shimcha xavfsizlik xavflarini keltirib chiqarishga qaror qilishdi va ma'lumot omborini GitHub platformasiga ko'chirishdi, undan foydalanish tavsiya etiladi. asosiy sifatida. Endi barcha o'zgarishlar git.php.net saytiga emas, GitHub-ga yuborilishi kerak, jumladan, ishlab chiqishda siz endi GitHub veb-interfeysidan foydalanishingiz mumkin.
Birinchi zararli harakatda ext/zlib/zlib.c faylidagi xatoni tuzatish niqobi ostida, agar kontent “zerodium” so‘zi bilan boshlangan bo‘lsa, User Agent HTTP sarlavhasida o‘tkazilgan PHP kodini ishga tushiradigan o‘zgartirish kiritildi. ". Ishlab chiquvchilar zararli o‘zgarishlarni payqab, uni qaytarganlaridan so‘ng, omborda ikkinchi majburiyat paydo bo‘ldi, bu esa PHP dasturchilarining zararli o‘zgarishlarni qaytarish bo‘yicha harakatlarini qaytardi.
Qo‘shilgan kodda “REMOVETHIS: 2017-yilning o‘rtalarida zerodiumga sotilgan” qatori mavjud bo‘lib, bu kodda 2017-yildan beri boshqa, yaxshi kamuflyajlangan, zararli o‘zgarish yoki tuzatilmagan zaiflik mavjud bo‘lganligini ko‘rsatishi mumkin. zaifliklar (Zerodium PHP zaifligi haqida ma'lumot sotib olmagan deb javob berdi).
Hozirda voqea haqida batafsil ma'lumot yo'q, faqat o'zgarishlar git.php.net serverining buzib kirishi natijasida qo'shilgan, deb taxmin qilinmoqda, balki ishlab chiquvchining individual akkauntlarining buzilishi emas. Aniqlangan muammolarga qo'shimcha ravishda boshqa zararli o'zgarishlar mavjudligi uchun omborni tahlil qilish boshlandi. Hamma ko'rib chiqishga taklif qilinadi, agar shubhali o'zgarishlar aniqlansa, ma'lumotni quyidagi manzilga yuborishingiz kerak [elektron pochta bilan himoyalangan].
GitHub-ga o'tishga kelsak, yangi omborga yozish huquqiga ega bo'lish uchun ishlab chiqish ishtirokchilari PHP tashkilotining bir qismi bo'lishi kerak. GitHub'da PHP dasturchilari ro'yxatiga kiritilmaganlar Nikita Popov bilan elektron pochta orqali bog'lanishlari kerak [elektron pochta bilan himoyalangan]. Qo'shish uchun majburiy talab ikki faktorli autentifikatsiyani yoqishdir. Repozitariyni o'zgartirish uchun tegishli huquqlarni olgandan so'ng, "git remote set-url origin." buyrug'ini bajaring [elektron pochta bilan himoyalangan]:php/php-src.git". Bundan tashqari, ishlab chiquvchining elektron raqamli imzosi bilan majburiy sertifikatlashtirishga o‘tish masalasi ko‘rib chiqilmoqda. Shuningdek, oldindan ko'rib chiqilmagan o'zgartirishlarni bevosita qo'shishni taqiqlash taklif etiladi.
Manba: opennet.ru