Разработчик на Debian и изследовател в сферата на информационната сигурност Андрес Фруенд съобщава за откритие на вероятен бекдор в изходния код на xz версии 5.6.0 и 5.6.1.
Бекдорът представлява ред в един от m4-скриптовете, който добавя объркан злонамерен код в края на скрипта configure. Този код след това модифицира един от генерираните Makefile на проекта, което в крайна сметка води до включването на злонамерен код (замаскиран като тестов архив bad-3-corrupt_lzma2.xz) в бинарния файл liblzma.
Особеност на инцидента е, че злонамереният код се съдържа само в разпространяваните tar-архиви с изходен код и не присъства в git-репозитория на проекта.
Съобщава се, че лицето, от името на което злонамереният код е добавен в репозитория на проекта, или е пряко замесено в случилото се, или е станало жертва на сериозна компрометация на личните си акаунти (но изследователят е склонен към първия вариант, тъй като този човек е участвал лично в няколко обсъждания, свързани със злонамерените изменения).
Във връзка с това изследователят отбелязва, че в крайна сметка целта на бекдора очевидно е инжекция на код в процеса sshd и подмяна на кода за проверка на RSA-ключовете, и представя няколко начина косвено да проверите дали злонамереният код се изпълнява на вашата система в момента.
Според новинарска статия проектът openSUSE, поради сложността на кода на бекдора и предполагаемия механизъм на неговата експлоатация е трудно да се установи дали е "сработил" поне веднъж на дадената машина, и се препоръчва пълна преинсталация на ОС с ротация на всички релевантни ключове на всички машини, на които поне веднъж са присъствали заразени версии на xz.
Източник: linux.org.ru
