В кода на xz версиите 5.6.0 и 5.6.1 е открит бекдор.

Разработчик на Debian и изследовател в областта на информационната сигурност Андрес Фройнд съобщава за откритие на вероятен бекдор в изходния код на xz версии 5.6.0 и 5.6.1.

Бекдорът представлява ред в един от m4 скриптовете, който добавя обфускиран вредоносен код в края на скрипта configure. Този код след това модифицира един от генерираните Makefile на проекта, което в крайна сметка води до вмъкване на вредоносен код (замаскиран под тестов архив bad-3-corrupt_lzma2.xz) в бинарния файл liblzma.

Специфичността на инцидента се състои в това, че вредоносният код се съдържа единствено в разпространяваните tar архиви с изходен код и не присъства в git репозитория на проекта.

Съобщава се, че лицето, от името на което е добавен вредоносният код в репозитория на проекта, е или пряко замесено в събитието, или е станало жертва на сериозна компрометация на личните си акаунти (но изследователят се склонява към първия вариант, тъй като това лице е участвало лично в няколко обсъждания, свързани с вредоносните промени).

На линка изследователят отбелязва, че в крайна сметка целта на бекдора очевидно е инжекция на код в процеса sshd и замяната на RSA ключовите проверки, и предоставя няколко начина косвено да се провери дали вредоносният код в момента се изпълнява на вашата система.

Според новините на проекта openSUSE, поради сложността на кода на бекдора и предполагаемия механизъм на неговата експлоатация, е трудно да се установи дали той „е сработил“ поне веднъж на тази машина, и препоръчва пълна преинсталация на операционната система с ротация на всички релевантни ключове на всички машини, на които поне един път са се намирали заразени версии на xz.

Източник: linux.org.ru