Актуализация XZ Utils 5.8.1 с отстранением уязвимости

Издадено ново издание на пакета XZ Utils 5.8.1, което включва библиотеката liblzma и инструменти за работа с файлове, компресирани в формат «.xz». XZ Utils 5.8.1 е първото значимо издание след инцидента със засечен бекдор, позволяващ достъп чрез sshd. Миналата седмица в Git беше създаден етикет 5.8.0, но пускането му не беше обявено официално заради проблеми с производителността и съвместимостта със стари версии на GNU make, установени след публикуването на етикета.

В актуализацията XZ Utils 5.8.1 е отстранена уязвимост (CVE-2025-31115), което води до срив при опит за разархивиране на специално форматирани архиви. Уязвимостта е причинена от достъп до вече освободена област памет (use after free). Нападателят може да постигне запис на стойността си на адрес, изчислен като «нула указател + офсет». Проблемът се разглежда като неволна грешка, тъй като промените, довели до него, са били направени в кода много преди пристигането на разработчика Jia Tan в проекта, чиято дейност е довела до внедряването на бекдора.

Проблемът възниква от версия XZ Utils 5.3.3alpha при декодиране в многопоточен режим (проблемът не засяга еднопоточния декодер). Освен стандартните инструменти от пакета xz, уязвимостта се проявява и в трети приложения, които използват функцията lzma_stream_decoder_mt от библиотеката liblzma. Уязвимостта е отстранена в версия XZ Utils 5.8.1, а също така е пренесена в стабилните версии 5.4 и 5.6. Може да следите наличието на актуализации в дистрибуции на следните страници: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Като обходен вариант за защита, можете да деактивирате декодирането на файлове в многопоточен режим, като използвате опции «—decompress —threads=1» при стартиране на xz или прилагайки инструмента xzdec.

От функционалните промени в версия XZ Utils 5.8 може да се отбележи:

• В декодера LZMA/LZMA2 е добавена възможността да се използват инструкции SSE2 вместо функцията memcpy() на 32- и 64-битови системи x86. Това промени позволи да се намали времето за декодиране с до 5% при компилация с Glibc и с до 15% при компилация с musl при разархивиране на файлове с много високо ниво на компресия.
• В liblzma е увеличена скоростта на кодиране на 64-битови системи PowerPC и RISC-V.
• В lzma/bcj.h е добавен нискоуровнев API за BCJ филтри (Branch/Call/Jump) за системи RISC-V, ARM64 и x86.
• Кодът за изчисление на CLMUL CRC за системи x86, x86-64 и E2K е преписан.
• На платформи с процесори LoongArch са използвани инструкции за ускоряване на изчисленията на контролни суми CRC32.
• В утилитата „xz“ е осигурен извикването на функцията fsync() за изчистване на файловите кешове за резултатния файл преди изтриването на оригиналния файл. За деактивиране на синхронизацията преди изтриването е реализирана опцията „—no-sync.“
• В утилитите xz, xzdec и lzmainfo при извеждане на информация на екрана е осигурена замяна на непечатни символи със знак въпрос.
• В xz и xzdec на платформата Linux е реализирана поддръжка на 5 и 6 версии на механизма Landlock за изолиране на процеса.
• Добавен е скрипт за проверка на лицензиите build-aux/license-check.sh.
• Обявени за остарели са скриптовете lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep и lzfgrep, реализирани като разширения на утилитата xz.

Източник: opennet.ru