В xz/liblzma е открит злонамерен код, насочен към получаване на неразрешен отдалечен достъп чрез SSH (бекдор) и изпълнение на команди (CVE-2024-3094). Зловредният софтуер е внедрен в версии 5.6.0 и 5.6.1 и, както предава OpenNet, е успял да достигне до сборките и хранилищата на Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker и rolling, pkgsrc current, Slackware current, Manjaro, Void Linux. Въпреки това, далеч не навсякъде бекдорът може да бъде активиран. Ситуацията се усложнява от факта, че разработчикът, който е под подозрение, в последните години е участвал и в свързани проекти на общността. Затова няма основания за доверие в изходния код на xz, докато не се изяснят всички детайли и последици от случващото се. В частност, съответното хранилище в GitHub вече е блокирано с известие: „Достъпът до това хранилище беше блокиран от служителите на GitHub заради нарушение на условията на предоставяне на услуги на GitHub.“
Източник: 3dnews.ru
