🥇Проект XZ публикува резултата от одита на комитите и първото обновление след откриването на бекдора

Ласе Колин (Lasse Collin), старият съпроводител на проекта xz, който през 2022 г. предаде правата на новия съпроводител Джиа Тан, чиято дейност доведе до внедряване на бекдор, публикува коригиращи версии на пакета XZ Utils 5.2.13, 5.4.7 и 5.6.2, в които са премахнати компонентите на бекдора и други подозрителни промени, добавени вследствие на злонамерената дейност на предишния съпроводител.

Освен това е публикуван отчет за прегледа на Git репозитория и промените, добавени от декември 2022 г. по време на мандата на Джиа Тан като съпроводител. Промените са разгледани на ниво отделни коммити. Коммитите в репозитория не са удостоверени с цифров подпис, но не са открити следи от фалшификации от страна на коммитерите. Общо от репозитория са премахнати 8 злонамерени коммита.

От кодовата база все още не е премахнат кода CRC CLMUL, който предизвиква фалшиви сработвания при проверка в MSAN (Memory sanitizer) и проблеми с OSS Fuzz. В бъдеще този код планират да преработят, но засега е решено да не се пипа, за да се избегнат регресии в старите клонове. Подозрителни промени в стари коммити, добавени преди нансянето на промените, свързани с внедряването на бекдора, не са открити. Отделно са проверени po-файловете за локализация, метаданните в tar файловете и архивите с издания и преводи.

От промените също така се отбелязва включването на натрупаните поправки на грешки и премахването на поддръжката на механизма IFUNC, предлаган от Glibc за косвени извиквания на функции, който е бил използван за организиране на прихващане на функции в бекдора. Забелязано е, че използването на IFUNC само усложнява кода, а ползата от производителността не е съществена. В знак на предпазливост от пакета с изходни текстове също са премахнати логото на XZ, PDF версиите на man-страниците и два теста за архитектури x86 и SPARC, в които входните данни са обработвани обектни файлове.

От новостите на декодера xzdec е добавена поддръжка на 4-тата версия на ABI механизма за изолация на приложения Landlock. В скриптовете за изграждане Autotools е добавена опция "--enable-doxygen", а в сценария Cmake параметърът ENABLE_DOXYGEN за генериране и инсталиране на документацията за API liblzma, използвайки Doxygen. Вече генерираната документация е премахната от пакета.

Източник: opennet.ru

Проект XZ публикува резултата от одита на комитите и първото обновление след открития бэкдор