Vývojář Debian a bezpečnostní výzkumník Andres Freund hlásí, že v zdrojovém kódu xz verzí 5.6.0 a 5.6.1 byl objeven pravděpodobný backdoor.
Backdoor představuje řádek v jednom z m4 skriptů, který do konce skriptu configure dopisuje obfuskovaný škodlivý kód. Tento kód pak modifikuje jeden ze vygenerovaných Makefile projektu, což nakonec vede k tomu, že se škodlivý kód (skrytý pod testovacím archívem bad-3-corrupt_lzma2.xz) dostane do binárního souboru liblzma.
Zvláštností incidentu je, že škodlivý kód je obsažen pouze v distribuovaných tar archivech se zdrojovým kódem a není přítomen v git repozitáři projektu.
Podle zpráv osoba, pod jejíž jménem byl škodlivý kód přidán do repozitáře projektu, je buď přímo zapojena do události, nebo se stala obětí závažné kompromitace svých osobních účtů (ale výzkumník se kloní k prvnímu variantě, protože tato osoba se osobně účastnila několika diskuzí týkajících se škodlivých změn).
Na odkazu výzkumník uvádí, že konečným cílem backdooru je pravděpodobně injekce kódu do procesu sshd a substituce kódu pro ověřování RSA klíčů, a uvádí několik způsobů, jak nepřímo zkontrolovat, zda se škodlivý kód právě nyní vykonává ve vaší systému.
Podle článku zprávy projektu openSUSE, vzhledem k zamotanosti kódu backdooru a předpokládanému mechanismu jeho zneužití je těžké zjistit, zda se nějak "spustil" na tomto stroji, a doporučuje úplnou reinstalaci OS s rotací všech relevantních klíčů na všech strojích, na kterých se alespoň jednou objevily nakažené verze xz.
Zdroj: linux.org.ru
