Git-Hosting: Angriff auf PHPs Code-Repository
Unbekannten gelang es kurzzeitig, die Kontrolle über das Git-Repository von PHP zu erlangen. Dabei wurden zwei Hintertüren in den Code eingefügt. Bisher gibt es keine Informationen darüber, wie der Angriff gelang.
PHP-Entwickler Nikitia Popov informierte die Community über den Vorfall in einer E-Mail und kündigte darin gleich an, dass die Entwicklung von PHP künftig auf Github stattfinden wird. Man habe sich entschieden, dass "die Betreuung unserer eigenen Git-Infrastruktur ein unnötiges Sicherheitsrisiko ist" , so Popov.
Selbst entwickeltes Zugriffssystem als Risiko identifiziert
Bisher nutzte PHP eine Kombination der Software Gitolite und ein selbst entwickeltes Zugriffssystem namens Karma(öffnet im neuen Fenster) . Laut Popov deutet alles darauf hin, dass der Git-Hosting-Server kompromittiert wurde und es sich nicht um einen Angriff auf die Accounts von Einzelpersonen handelt.
Die beiden(öffnet im neuen Fenster) Commits(öffnet im neuen Fenster) ändern den Code von PHP so, dass mittels des User-Agent-Strings PHP-Code ausgeführt werden kann. Ausgelöst wird die Hintertür durch den String "zerodium". Dabei handelt es sich um den Namen eines bekannten Exploit-Händlers. Allerdings ist es unwahrscheinlich, dass Zerodium tatsächlich für den Angriff verantwortlich ist - es dürfte sich um einen Ablenkungsversuch handeln.
Da der Angriff schnell entdeckt wurde, hält sich das Risiko in Grenzen. Der Hintertür-Code landete in keinem Release. Betroffen sind nur Personen, die in einem kurzen Zeitfenster den Git-Code von PHP ausgecheckt und auf einem öffentlich erreichbaren Server installiert haben.