Debian-udvikler og informationssikkerhedsresearcher Andres Freund rapporterer om opdagelsen af en formodet bagdør i kildekoden til xz versionerne 5.6.0 og 5.6.1.
Bagdøren repræsenterer en linje i et af m4-scriptterne, som tilføjer obfuskeret ondsindet kode til slutningen af configure-scriptet. Denne kode ændrer derefter en af de genererede Makefile-filer i projektet, hvilket i sidste ende fører til, at ondsindet kode (maskeret som en testarchiv bad-3-corrupt_lzma2.xz) bliver inkluderet i binærfilen liblzma.
Særegent ved hændelsen er, at den ondsindede kode er indeholdt kun i de distribuerede tar-arkiver med kildekoden og ikke er til stede i projektets git-repository.
Det rapporteres, at den person, hvis navn blev brugt til at tilføje den ondsindede kode til projektets repository, enten er direkte involveret i hændelsen eller er blevet offer for en alvorlig kompromittering af sine personlige konti (men forskeren hælder mod den første mulighed, da denne person personligt har deltaget i flere diskussioner relateret til de ondsindede ændringer).
Forskerne bemærker i deres rapport, at målet med bagdøren tilsyneladende er at injicere kode i sshd-processen og ændre RSA-nøglekontrolkoden, og de fremfører flere metoder til indirekte at kontrollere, om den ondsindede kode kører på dit system i øjeblikket.
Ifølge en nyhedsartikel fra openSUSE-projektet, på grund af bagdørens komplekse kode og den formodede metode til udnyttelse er det vanskeligt at fastslå, om den "har fungeret" mindst én gang på denne maskine, og de anbefaler en fuldstændig geninstallation af OS med rotation af alle relevante nøgler på alle maskiner, hvor de inficerede versioner af xz har været.
Kilde: linux.org.ru
