Были получены исходники 3300 глобальных интернет-проектов

  Пару месяцев назад группой исследователей (специалисты компании «2Товарища» и Антон Исайкин) была обнаружена уязвимость, присущая в основном большим интернет-проектам (таким как Рамблер, Мейл, Яндекс, Опера). Благодаря наличию данной уязвимости, исследователем удалось получить доступ к файловым структурам известнейших сайтов (в общей сложности 3320 сайтов) и в ряде случаев их полные исходные коды.

  Уязвимость затрагивает средство для организации совместной разработки SVN. В силу особенностей архитектуры, SVN хранит в каждой директории проекта свои метафайлы, аккуратно сложенные в скрытую директорию .svn. Так же там находится информация о расположении репозитория, размере файлов, даты их изменения и логины пользователей, работающих над проектом. В той же папке находится директория text-base, в которой лежат последние версии всех файлов, находящихся в репозитории. Картину дополняет так же и то, что файлы имеют не стандартное расширение (например .php), которое позволяет их сразу отправить на интерпретатор, а дополнительное расширение .svn-base, благодаря которому файл отдается запросившему его человеку «как есть», т.е. голый исходный код.

  Таким образом, исследователями была создана программа для полного сканирования рунета на наличие подобной уязвимости. «Мы обошли весь рунет за 4 дня. Дальнейшими планами была база доткомов. Стало очевидно, что при текущих ресурсах обход был бы выполнен как минимум за пару лет (зона com сейчас насчитывает более 700 млн доменов (против 2 млн ru))», — отмечают исследователи. — «Прежде чем публиковать открыто информацию об уязвимости, необходимо было предупредить всех пострадавших. В первую очередь письма были разосланы гигантам (yandex.ru, rambler.ru, mail.ru, opera.com, rbc.ru, 003.ru, bolero.ru, habrahabr.ru, итого 19 адресов), затем письма получили остальные 3000+ сайтов. Выпуск статьи был задержан ожиданием пока opera.com закроет уязвимость на всех своих серверах.»

  Уязвимость можно обойти несколькими путями. Путь в лоб — запретить обращаться к метадиректориям SVN по 80-ому порту, т.е. средствами вебсервера. Лучшим решением будет отсутствие метадиректорий в корне проекта. Добиться этого можно средствами svn export из основной ветки:

  Полный текст исследования расположен по ссылке.