Lasse Collin, starý správce projektu xz, který v roce 2022 předal práva novému správci Jia Tanovi, jehož činnost vedla k implementaci backdooru, publikoval opravy balíčku XZ Utils 5.2.13, 5.4.7 a 5.6.2, ve kterých byly odstraněny komponenty backdooru a další podezřelé změny, které byly přidány v důsledku škodlivé činnosti předchozího správce.
Dále byla zveřejněna zpráva o recenzování Git repozitáře a změn, které byly přidány od prosince 2022 během působení Jia Tana jako správce. Změny byly rozebrány na úrovni jednotlivých commitů. Commity v repozitáři nebyly podepsány digitálním podpisem, ale žádné stopy falšování ze strany autorů commitů nebyly zjištěny. Celkem bylo z repozitáře odstraněno 8 škodlivých commitů.
Z kódu zatím nebyl odstraněn kód CRC CLMUL, který způsobuje falešné pozitivní detekce při kontrole v MSAN (Memory sanitizer) a problémy s OSS Fuzz. V budoucnu se plánuje tento kód přepracovat, ale zatím bylo rozhodnuto jej neměnit, aby se předešlo regresím ve starých větvích. Podezřelé změny ve starých commitech, přidané před provedením změn souvisejících s backdoorem, nebyly zjištěny. Samostatně byly zkontrolovány po-soubory lokalizace, metadata v tar souborech a archivy s releasemi a překlady.
Mezi změnami se také zaznamenává zahrnutí nahromaděných oprav chyb a odstranění podpory mechanismu IFUNC, poskytovaného v Glibc pro nepřímé volání funkcí, který byl použit pro organizaci přesměrování funkcí v backdooru. Bylo poznamenáno, že používání IFUNC jen komplikuje kód, přičemž zisk v výkonu z něj není významný. Jako pojistku byl z balíčku se zdrojovými kódy také odstraněn logo XZ, PDF verze man stránek a dva testy pro architektury x86 a SPARC, ve kterých byly zpracovávány objektové soubory jako vstupní data.
Mezi novinkami v dekodéru xzdec byla přidána podpora 4. verze ABI mechanismu isolace aplikací Landlock. Do montážních skriptů Autotools byla přidána volba "—enable-doxygen", a do skriptů Cmake parametr ENABLE_DOXYGEN pro generaci a instalaci dokumentace k API liblzma pomocí Doxygen. Již vygenerovaná dokumentace byla z balíčku odstraněna.
Zdroj: opennet.ru
