Актуализация XZ Utils 5.8.1 с отстраняване на уязвимост

Публикуван е новият пакет XZ Utils 5.8.1, който включва библиотеката liblzma и инструменти за работа със стиснати данни в формат ‘.xz’. XZ Utils 5.8.1 стана първото значимо издание след инцидента с открития бекдор, позволяващ достъп чрез sshd. Миналата седмица в Git беше създаден етикет 5.8.0, но релизът не беше обявен официално поради установени проблеми с производителността и съвместимостта със старите версии на GNU make след публикуването на етикета.

В обновлението на XZ Utils 5.8.1 е отстранена уязвимост (CVE-2025-31115), която води до аварийно прекратяване при опити за разопаковане на специално оформени архиви. Уязвимостта е резултат от опити за достъп до вече освободена памет (use after free). Атакуващият може да запише своето значение на адрес, изчислен като ‘нулев указател + изместване’. Проблемът се разглежда като непреднамерена грешка, тъй като измененият код е бил внесен дълго преди идването на разработчика Jia Tan, чиято дейност е довела до внедряването на бекдора.

Проблемът се проявява от версия XZ Utils 5.3.3alpha при декодиране в многопоточен режим (еднопоточният декодер не е засегнат). Освен стандартните инструменти от пакета xz, уязвимостта се проявява и в трети приложения, използващи функцията lzma_stream_decoder_mt от библиотеката liblzma. Уязвимостта е отстранена в версия XZ Utils 5.8.1, както и пренесена в стабилните клонове 5.4 и 5.6. Можете да проследите наличието на актуализации в дистрибутивите на следните страници: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Като обходен начин за защита може да изключите декодирането на файлове в многопоточен режим, използвайки опции при стартиране на xz „—decompress —threads=1“ или прилагане на инструмента xzdec.

Сред функционалните промени в версия XZ Utils 5.8 могат да се отбележат:

• В декодера LZMA/LZMA2 е добавена възможност за използване на инструкции SSE2 вместо функцията memcpy() на 32- и 64-битови системи x86. Промяната позволи да се намали времето за декодиране с до 5% при компилация с Glibc и до 15% при компилация с musl при разопаковане на файлове с много високо ниво на компресия.
• В liblzma е увеличена скоростта на кодиране на 64-битови системи PowerPC и RISC-V.
• В lzma/bcj.h е добавен нискоуровневият API BCJ филтри (Branch/Call/Jump) за системи RISC-V, ARM64 и x86.
• Кодът за пресмятане на CLMUL CRC за системи x86, x86-64 и E2K е пренаписан.
• На платформите с процесори LoongArch се използват инструкции за ускоряване на изчисленията на контрольни суми CRC32.
• В утилитата «xz» е осигурено повикването на функцията fsync() за изчистване на файловите кешове за резултатния файл преди изтриването на изходния файл. За деактивиране на синхронизацията преди изтриване е реализирана опцията «—no-sync».
• В утилитите xz, xzdec и lzmainfo при извеждане на информация на екрана е осигурена замяна на непечатаемите символи с въпросителен знак.
• В xz и xzdec на платформата Linux е реализирана поддръжка на 5 и 6 версии на механизма Landlock за изолиране на процеса.
• Добавен е скрипт за проверка на лицензиите build-aux/license-check.sh.
• Обявени са за остарели скриптовете lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep и lzfgrep, реализирани като надстройки върху утилитата xz.

Източник: opennet.ru