Време е да сверим версиите: в Linux е открита сложна атака на веригата за доставки

В xz/liblzma е открит злонамерен код, насочен към получаване на неразрешен отдалечен достъп по SSH (бекдор) и изпълнение на команди (CVE-2024-3094). Зловредният софтуер е внедрен в версии 5.6.0 и 5.6.1 и, както съобщава OpenNet, е успял да попадне в сборки и хранилища на Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker и rolling, pkgsrc current, Slackware current, Manjaro, Void Linux. Въпреки това, не навсякъде бекдорът може да бъде активиран. Ситуацията се усложнява от факта, че разработчикът, оказал се под подозрение, в последните години е участвал и в сродни проекти на общността. Затова няма основания за доверие към изходния код на xz, докато не се изяснят всички детайли и последствия от случилото се. По-специално, съответното хранилище на GitHub вече е блокирано с известието: „Достъпът до това хранилище е блокиран от служителите на GitHub поради нарушение на условията за предоставяне на услуги на GitHub.
Източник: 3dnews.ru