Suicide
22.12.2018, 04:37
В интерфейсе GitHub выявлена интересная особенность, позволяющая представить любое стороннее изменение как изменение, уже включённое в основной проект. Например, сегодня в социальных сетях стала распространяться ссылка на изменение (https://github.com/torvalds/linux/blob/b4061a10fc29010a610ff2b5b20160d7335e69bf/drivers/hid/hid-samsung.c#L113-L118) в официальном зеркале основного репозитория ядра Linux, свидетельствующая о подстановке (https://github.com/torvalds/linux/commit/b4061a10fc29010a610ff2b5b20160d7335e69bf) бэкдора в драйвер hid-samsung.
Разбор ситуации показал (https://github.com/torvalds/linux/commit/b4061a10fc29010a610ff2b5b20160d7335e69bf#commitcom ment-31751573), что GitHub в целях оптимизации хранения и минимизации дублирования данных хранит вместе все объекты из основного репозитория и связанных с ним форков, логически разделяя принадлежность коммитов. Подобное хранение позволяет просмотреть в любом из связанных репозиториев любой коммит из любого форка, явно указав его хэш в URL.
Например, в случае с демонстрацией бэкдора, один из пользователей создал в интерфейсе GitHub форк (https://github.com/andrewrk/linux) основного репозитория ядра Linux, далее добавил в свой форк коммит с кодом, похожим на бэкдор. После чего он сформировал ссылку, в которой SHA1-идентификатор внешнего изменения был подставлен в URL основного репозитория. При открытии подобной ссылки посторонний коммит показывается в интерфейсе GitHub в контексте основного репозитория, несмотря на то, что совершён в форке и не имеет к основному репозиторию никакого отношения и в нём подобный коммит отсутствует.
https://www.opennet.ru/opennews/pics_base/0_1545408291.png (https://github.com/torvalds/linux/commit/b4061a10fc29010a610ff2b5b20160d7335e69bf)
Более того, в интерфейсе GitHub при просмотре списка изменений для отдельных файлов в основном репозитории показываются (https://github.com/torvalds/linux/commits/b4061a10fc29010a610ff2b5b20160d7335e69bf/drivers/hid/hid-samsung.c) и сторонние коммиты, что создаёт большую путаницу. При извлечении данных или клонировании репозитория при помощи команд git сторонние изменения в получаемый репозиторий не попадают.
https://www.opennet.ru/opennews/pics_base/0_1545408479.png (https://github.com/torvalds/linux/commits/b4061a10fc29010a610ff2b5b20160d7335e69bf/drivers/hid/hid-samsung.c)
21.12.2018
https://www.opennet.ru/opennews/art.shtml?num=49833
Разбор ситуации показал (https://github.com/torvalds/linux/commit/b4061a10fc29010a610ff2b5b20160d7335e69bf#commitcom ment-31751573), что GitHub в целях оптимизации хранения и минимизации дублирования данных хранит вместе все объекты из основного репозитория и связанных с ним форков, логически разделяя принадлежность коммитов. Подобное хранение позволяет просмотреть в любом из связанных репозиториев любой коммит из любого форка, явно указав его хэш в URL.
Например, в случае с демонстрацией бэкдора, один из пользователей создал в интерфейсе GitHub форк (https://github.com/andrewrk/linux) основного репозитория ядра Linux, далее добавил в свой форк коммит с кодом, похожим на бэкдор. После чего он сформировал ссылку, в которой SHA1-идентификатор внешнего изменения был подставлен в URL основного репозитория. При открытии подобной ссылки посторонний коммит показывается в интерфейсе GitHub в контексте основного репозитория, несмотря на то, что совершён в форке и не имеет к основному репозиторию никакого отношения и в нём подобный коммит отсутствует.
https://www.opennet.ru/opennews/pics_base/0_1545408291.png (https://github.com/torvalds/linux/commit/b4061a10fc29010a610ff2b5b20160d7335e69bf)
Более того, в интерфейсе GitHub при просмотре списка изменений для отдельных файлов в основном репозитории показываются (https://github.com/torvalds/linux/commits/b4061a10fc29010a610ff2b5b20160d7335e69bf/drivers/hid/hid-samsung.c) и сторонние коммиты, что создаёт большую путаницу. При извлечении данных или клонировании репозитория при помощи команд git сторонние изменения в получаемый репозиторий не попадают.
https://www.opennet.ru/opennews/pics_base/0_1545408479.png (https://github.com/torvalds/linux/commits/b4061a10fc29010a610ff2b5b20160d7335e69bf/drivers/hid/hid-samsung.c)
21.12.2018
https://www.opennet.ru/opennews/art.shtml?num=49833