Používateľská databáza stránok PHP bola napadnutá pri nedávnom útoku na backdoor zdrojového kódu

Správcovia programovacieho jazyka PHP vydali aktualizáciu týkajúcu sa bezpečnostného incidentu, ktorý vyšiel najavo koncom minulého mesiaca, a uviedli, že aktéri mohli získať databázu používateľov obsahujúcu ich heslá, aby vykonali neoprávnené zmeny v úložisku.

“Už neveríme, že server git.php.net bol kompromitovaný. Je však možné, že unikla užívateľská databáza master.php.net,” uviedol Nikita Popov v správe zverejnenej na svojom mailingovom zozname v apríli. 6.

28. marca neznámi aktéri použili mená Rasmusa Lerdorfa a Popova, aby do úložiska „php-src“ hosťovaného na serveri git.php.net poslali škodlivé potvrdenia, ktoré zahŕňali pridanie zadných vrátok do zdrojového kódu PHP v inštancii súboru útok softvérového dodávateľského reťazca.

Aj keď sa to pôvodne považovalo za kompromitáciu servera git.php.net, ďalšie vyšetrovanie incidentu ukázalo, že potvrdenia boli výsledkom ich tlačenia pomocou HTTPS a autentifikácie na základe hesla, čo ich viedlo k podozreniu z možného úniku databázu užívateľov master.php.net.

Podpora “git.php.net (zámerne).[s] presadzovanie zmien nielen cez SSH (pomocou infraštruktúry Gitolite a kryptografie s verejným kľúčom), ale aj cez HTTPS,“ povedal Popov. 2 Autentifikácia Digest proti databáze používateľov master.php.net.”

“Je pozoruhodné, že útočník len párkrát uhádne používateľské mená a úspešne sa overí, keď sa nájde správne používateľské meno. Nemáme na to žiadne konkrétne dôkazy, ale možným vysvetlením je, že databáza používateľov master.php .net unikol, aj keď nie je jasné, prečo by v takom prípade útočník musel uhádnuť používateľské mená.“

Okrem toho sa hovorí, že autentifikačný systém master.php.net je na veľmi starom operačnom systéme a verzii PHP, čo zvyšuje možnosť, že útočníci tiež zneužili zraniteľnosť v softvéri na uskutočnenie útoku.

V dôsledku toho správcovia migrovali master.php.net na nový systém main.php.net s podporou TLS 1.2, okrem resetovania všetkých existujúcich hesiel a ukladania hesiel pomocou bcrypt namiesto obyčajného hashu MD5.