{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Opdatering af XZ Utils 5.8.1 med s\u00e5rbarhedsrettelse","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Udgaven af XZ Utils 5.8.1 er offentliggjort, inklusive biblioteket liblzma og v\u00e6rkt\u00f8jer til h\u00e5ndtering af komprimerede data i formatet . XZ Utils 5.8.1 er den f\u00f8rste v\u00e6sentlige udgivelse efter h\u00e6ndelsen med opdagelsen af en tilbageholdt adgang, som muligg\u00f8r indtr\u00e6ngen via sshd. I sidste uge blev der oprettet et tag 5.8.0 i Git, men udgivelsen blev ikke officielt annonceret p\u00e5 grund af de problemer med ydeevne og kompatibilitet med \u00e6ldre versioner af GNU make, der blev opdaget efter offentligg\u00f8relsen af tag'en. <\/p>\n
I opdateringen af XZ Utils 5.8.1 er der blevet rettet en s\u00e5rbarhed (CVE-2025-31115), som f\u00f8rer til et nedbrud, n\u00e5r man fors\u00f8ger at udpakkede specielt udformede arkiver. S\u00e5rbarheden skyldes adgangen til et allerede frigivet hukommelsesomr\u00e5de (use after free). En angriber kan f\u00e5 det til at skrive sin v\u00e6rdi p\u00e5 en adresse, der beregnes som . Problemet betragtes som en utilsigtet fejl, da \u00e6ndringen, der for\u00e5rsagede det, blev foretaget i koden l\u00e6nge f\u00f8r udvikleren Jia Tan kom ind i projektet, hvis aktiviteter f\u00f8rte til indf\u00f8relsen af en tilbageholdt adgang. <\/p>\n
Problemet opst\u00e5r fra udgivelsen af XZ Utils 5.3.3alpha ved dekodning i multitr\u00e5dede tilstand (enkelttr\u00e5dede dekodere er ikke p\u00e5virket). Udover de almindelige v\u00e6rkt\u00f8jer i xz-pakken manifesterer s\u00e5rbarheden sig ogs\u00e5 i tredjepartsprogrammer, der bruger funktionen lzma_stream_decoder_mt fra biblioteket liblzma. S\u00e5rbarheden er blevet rettet i udgivelsen af XZ Utils 5.8.1 og er ogs\u00e5 blevet porteret til de stabile grene 5.4 og 5.6. Man kan f\u00f8lge med i opdateringer i distributionerne p\u00e5 f\u00f8lgende sider: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. En midlertidig beskyttelse kan opn\u00e5s ved at deaktivere dekodning af filer i multitr\u00e5dede tilstand ved at bruge mulighederne ved start af xz eller ved at anvende v\u00e6rkt\u00f8jet xzdec. <\/p>\n
Blandt funktionelle \u00e6ndringer i XZ Utils 5.8 kan n\u00e6vnes: <\/p>\n
\n
I LZMA\/LZMA2-dekoderen er der tilf\u00f8jet mulighed for at bruge SSE2-instruktioner i stedet for memcpy()-funktionen p\u00e5 32- og 64-bit x86 systemer. \u00c6ndringen har reduceret dekodningstiden med op til 5% ved byggem\u00e6rket med Glibc og op til 15% ved byggem\u00e6rket med musl ved udpakkede filer med meget h\u00f8j kompressionsgrad.\n
I liblzma er kodningshastigheden forbedret p\u00e5 64-bit systemer PowerPC og RISC-V.\n
I lzma\/bcj.h er der tilf\u00f8jet et lavniveau API til BCJ-filtre (Branch\/Call\/Jump) for RISC-V, ARM64 og x86 systemer.\n
Koden til beregning af CLMUL CRC er blevet omskrevet til x86, x86-64 og E2K systemer.\n
P\u00e5 platforme med LoongArch-processorer er der blevet anvendt instruktioner for at fremskynde beregningen af CRC32 kontrolsummen.\n
I v\u00e6rkt\u00f8jet er der sikret kald til funktionen fsync() for at t\u00f8mme filcache for den resulterende fil inden sletning af den oprindelige fil. For at deaktivere synkroniseringen f\u00f8r sletning er der implementeret en mulighed .\n
I v\u00e6rkt\u00f8jerne xz, xzdec og lzmainfo er der sikret, at ikke-udskrivbare tegn bliver erstattet med sp\u00f8rgsm\u00e5lstegnet ved sk\u00e6rmudgang.\n
I xz og xzdec p\u00e5 Linux-platformen er der opn\u00e5et support for version 5 og 6 af Landlock-mekanismen for at isolere processen.\n
Et script til licenskontrol er blevet tilf\u00f8jet: build-aux\/license-check.sh.\n
Scripts s\u00e5som lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep og lzfgrep, der er implementeret som udvidelser over v\u00e6rkt\u00f8jet xz, er blevet deklassificeret. <\/ul>\n