Git-Hosting: Angriff auf PHPs Code-Repository

Im Git-Repository von PHP wurden zwei Hintertüren eingefügt. Als Konsequenz will man den Code künftig nicht mehr selbst hosten.

Artikel veröffentlicht am 29. März 2021, 9:42 Uhr, Hanno Böck

Bei PHP gab es einen Angriff auf den Git-Server. (Bild: Ivo Jansch/Flickr/CC-BY 2.0)

Unbekannten gelang es kurzzeitig, die Kontrolle über das Git-Repository von PHP zu erlangen. Dabei wurden zwei Hintertüren in den Code eingefügt. Bisher gibt es keine Informationen darüber, wie der Angriff gelang.

PHP-Entwickler Nikitia Popov informierte die Community über den Vorfall in einer E-Mail und kündigte darin gleich an, dass die Entwicklung von PHP künftig auf Github stattfinden wird. Man habe sich entschieden, dass "die Betreuung unserer eigenen Git-Infrastruktur ein unnötiges Sicherheitsrisiko ist", so Popov.

Selbst entwickeltes Zugriffssystem als Risiko identifiziert

Bisher nutzte PHP eine Kombination der Software Gitolite und ein selbst entwickeltes Zugriffssystem namens Karma. Laut Popov deutet alles darauf hin, dass der Git-Hosting-Server kompromittiert wurde und es sich nicht um einen Angriff auf die Accounts von Einzelpersonen handelt.

Die beiden Commits ändern den Code von PHP so, dass mittels des User-Agent-Strings PHP-Code ausgeführt werden kann. Ausgelöst wird die Hintertür durch den String "zerodium". Dabei handelt es sich um den Namen eines bekannten Exploit-Händlers. Allerdings ist es unwahrscheinlich, dass Zerodium tatsächlich für den Angriff verantwortlich ist - es dürfte sich um einen Ablenkungsversuch handeln.

Da der Angriff schnell entdeckt wurde, hält sich das Risiko in Grenzen. Der Hintertür-Code landete in keinem Release. Betroffen sind nur Personen, die in einem kurzen Zeitfenster den Git-Code von PHP ausgecheckt und auf einem öffentlich erreichbaren Server installiert haben.