{"id":116209,"date":"2024-05-30T15:40:12","date_gmt":"2024-05-30T13:40:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora"},"modified":"2024-05-30T15:40:12","modified_gmt":"2024-05-30T13:40:12","slug":"proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","title":{"rendered":"XZ-projektet har offentliggjort resultatet af audit af commits og den f\u00f8rste opdatering efter afsl\u00f8ringen af en bagd\u00f8r","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lasse Collin, den tidligere vedligeholder af xz-projektet, som i 2022 overleverede rettighederne til den nye vedligeholder Jia Tan, hvis handlinger f\u00f8rte til indf\u00f8relsen af en bagd\u00f8r, har offentliggjort korrigerede versioner af XZ Utils 5.2.13, 5.4.7 og 5.6.2, hvor komponenter fra bagd\u00f8ren og andre mist\u00e6nkelige \u00e6ndringer, tilf\u00f8jet som f\u00f8lge af den tidligere vedligeholders ondsindede aktiviteter, er fjernet. <\/p>\n
Derudover er der offentliggjort en rapport om revisionen af Git-repositoriet og de \u00e6ndringer, der blev tilf\u00f8jet siden december 2022 under Jia Tans tid som vedligeholder. \u00c6ndringerne er analyseret p\u00e5 niveauet af enkelt commits. Commits i repositoriet har ikke v\u00e6ret valideret med digital signatur, men der er ikke fundet spor af forfalskning fra committerne. I alt er 8 ondsindede commits blevet fjernet fra repositoriet. <\/p>\n
Koden til CRC CLMUL er endnu ikke fjernet fra kodebasen, idet den f\u00f8rer til falske positive ved validering i MSAN (Memory sanitizer) og problemer med OSS Fuzz. Denne kode planl\u00e6gges at blive omarbejdet i fremtiden, men indtil videre er det besluttet ikke at \u00e6ndre den for at undg\u00e5 regressioner i \u00e6ldre grene. Der er ikke identificeret mist\u00e6nkelige \u00e6ndringer i gamle commits, der blev tilf\u00f8jet f\u00f8r \u00e6ndringerne relateret til implementeringen af bagd\u00f8ren. PO-filerne for lokalisering, metadata i tar-filerne og arkiver med udgivelser og overs\u00e6ttelser er ogs\u00e5 blevet gennemg\u00e5et separat. <\/p>\n
Blandt \u00e6ndringerne bem\u00e6rkes ogs\u00e5 inkluderingen af akkumulerede fejlrettelser og fjernelsen af underst\u00f8ttelsen af IFUNC-mekanismen, der tilbydes i Glibc til indirekte funktionsopkald, som blev brugt til at organisere funktionen interception i bagd\u00f8ren. Det blev bem\u00e6rket, at brugen af IFUNC kun komplicerer koden, mens gevinsten i ydeevne ikke er betydelig. Som en sikkerhedsforanstaltning er ogs\u00e5 logoet for XZ, PDF-versioner af man-sider og to tests for arkitekturerne x86 og SPARC blevet fjernet fra pakke med kilden. <\/p>\n
Blandt nyhederne er der tilf\u00f8jet support for version 4 af ABI-isoleringsmekanismen Landlock i xzdec-dekoderen. Der er tilf\u00f8jet muligheden «—enable-doxygen» i Autotools build-scripts, samt parameteren ENABLE_DOXYGEN i Cmake-scriptet for at generere og installere API-dokumentation til liblzma ved hj\u00e6lp af Doxygen. Den allerede genererede dokumentation er blevet fjernet fra pakken. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"