Lasse Collin, den tidligere vedligeholder af xz-projektet, som i 2022 overleverede rettighederne til den nye vedligeholder Jia Tan, hvis handlinger førte til indførelsen af en bagdør, har offentliggjort korrigerede versioner af XZ Utils 5.2.13, 5.4.7 og 5.6.2, hvor komponenter fra bagdøren og andre mistænkelige ændringer, tilføjet som følge af den tidligere vedligeholders ondsindede aktiviteter, er fjernet.
Derudover er der offentliggjort en rapport om revisionen af Git-repositoriet og de ændringer, der blev tilføjet siden december 2022 under Jia Tans tid som vedligeholder. Ændringerne er analyseret på niveauet af enkelt commits. Commits i repositoriet har ikke været valideret med digital signatur, men der er ikke fundet spor af forfalskning fra committerne. I alt er 8 ondsindede commits blevet fjernet fra repositoriet.
Koden til CRC CLMUL er endnu ikke fjernet fra kodebasen, idet den fører til falske positive ved validering i MSAN (Memory sanitizer) og problemer med OSS Fuzz. Denne kode planlægges at blive omarbejdet i fremtiden, men indtil videre er det besluttet ikke at ændre den for at undgå regressioner i ældre grene. Der er ikke identificeret mistænkelige ændringer i gamle commits, der blev tilføjet før ændringerne relateret til implementeringen af bagdøren. PO-filerne for lokalisering, metadata i tar-filerne og arkiver med udgivelser og oversættelser er også blevet gennemgået separat.
Blandt ændringerne bemærkes også inkluderingen af akkumulerede fejlrettelser og fjernelsen af understøttelsen af IFUNC-mekanismen, der tilbydes i Glibc til indirekte funktionsopkald, som blev brugt til at organisere funktionen interception i bagdøren. Det blev bemærket, at brugen af IFUNC kun komplicerer koden, mens gevinsten i ydeevne ikke er betydelig. Som en sikkerhedsforanstaltning er også logoet for XZ, PDF-versioner af man-sider og to tests for arkitekturerne x86 og SPARC blevet fjernet fra pakke med kilden.
Blandt nyhederne i xzdec-dekoderen er tilføjelsen af understøttelse for den 4. version af ABI for applikationsisolationsmekanismen Landlock. Bygningsskriftet for Autotools er blevet tilføjet en mulighed "--enable-doxygen", og i Cmake-scriptet parameteren ENABLE_DOXYGEN til generering og installation af dokumentation til API liblzma ved hjælp af Doxygen. Den allerede genererede dokumentation er blevet fjernet fra pakken.
Kilde: opennet.ru
