| 0 |
|
В это воскресенье, 28 марта, два вредоносных коммита (изменения) были внесены в репозиторий исходного кода php-src, поддерживаемый командой PHP на сервере git.php.net.
Попытку взломать кодовую базу популярного языка серверного программирования предприняли злоумышленники, выдававшие себя за известных разработчиков/мэнтейнеров PHP, Расмуса Лердорфа (Rasmus Lerdorf) и Никиту Попова. Под видом исправления незначительных типографических ошибок они подсадили туда RCE-бэкдор (Remote Code Execution).
«Первый коммит был обнаружен через пару часов после его внесения, в ходе рутинной проверки модифицированного кода. Из-за их явной злонамеренности эти изменения были немедленно отменены», — сообщил Никита Попов.
Если бы эта попытка оказалась успешной, она могла бы иметь самые серьёзные последствия, учитывая, что PHP используют свыше 79 процентов веб-сайтов Интернета. Взломанная версия этого языка открывает лазейку для удалённого выполнения веб-сервером произвольного кода из идентификационного заголовка в HTTP-запросе, начинающегося со слова ’zerodium’.
Уязвимость к спуфингу (подделке личности) систем версионного контроля исходного кода, таких как Git, хорошо известна, и новый инцидент лишь ускорил принятие решения о миграции официального репозитория этого проекта на эккаунт GitHub, прежде бывший одним из зеркал канонического хранилища кода PHP.
«Хотя расследование ещё не закончено, мы решили прекратить поддержку сервера git.php.net, поскольку наличие собственной инфраструктуры git создаёт ненужный риск безопасности», — сообщил Попов.
Изменения вступают в силу немедленно. Все, кто желает публиковать модификации кода PHP должны иметь учётную запись GitHub с активированной опцией двухфакторной аутентификации (2FA).
А тем временем мэнтейнеры продолжают проверку репозиториев на предмет любых повреждений, помимо двух упомянутых коммитов. Согласно заявлению Попова, существует вероятность, что они уже могли быть клонированы или копированы в форки, но изменения не затронули каких-либо тегов или релизных артефактов.
«Эти изменения были в ветке разработки версии PHP 8.1, которая должна быть выпущена в конце года», — отметил он.
Стратегія охолодження ЦОД для епохи AI
| 0 |
|
