Ласе Колин (Lasse Collin), старият съпроводител на проекта xz, предаде правата на новия съпроводител Джиа Тан през 2022 година. Неговата дейност доведе до внедряване на бекдора, а той публикува коригиращи версии на пакета XZ Utils 5.2.13, 5.4.7 и 5.6.2, в които са премахнати компонентите на бекдора и други подозрителни изменения, добавени в резултат на злонамерената дейност на предишния съпроводител.
Освен това, беше публикуван отчет за рецензия на Git-репозитория и на измененията, добавени от декември 2022 година, по време на управлението на Джиа Тан. Промените са разгледани на ниво отделни комити. Комитетата в репозитория не са били заверени с цифров подпис, но не са установени следи от фалшификация от страна на комитаторите. Общо от репозитория са изтрити 8 злонамерени комита.
От кодовата база все още не е премахнат кодът CRC CLMUL, който води до неверни сработвания при проверка в MSAN (Memory sanitizer) и проблеми с OSS Fuzz. В бъдеще този код планират да бъде преработен, но за сега е решено да не се пипа, за да се избегнат регресии в старите клонове. Подозрителни изменения в старите комити, добавени преди измененията, свързани с внедряването на бекдора, не са установени. Отделно бяха проверени po-файловете за локализация, метаданните в tar файловете и архивите с издания и преводи.
От измененията се отбелязва и включването на натрупаните поправки на грешки, а също така е премахната поддръжката на механизма IFUNC, предоставен в Glibc за косвени извиквания на функции, който е бил използван за организиране на прихващане на функции в бекдора. Отбелязано е, че използването на IFUNC просто усложнява кода, а печалбата в производителността от него не е съществена. Като застраховка, от пакета с изходни текстове са премахнати и логото XZ, PDF версиите на man страниците и два теста за архитектурите x86 и SPARC, в които като входни данни са обработвани обектни файлове.
От новостите в декодера xzdec е добавена поддръжка на 4 версия на ABI механизма за изолация на приложения Landlock. В сборочните скриптове на Autotools е добавена опцията "—enable-doxygen", а в сценария Cmake параметърът ENABLE_DOXYGEN за генериране и инсталиране на документацията на API liblzma, използвайки Doxygen. Вече генерираната документация е премахната от пакета.
Източник: opennet.ru
