In xz/liblzma wurde schadhafter Code gefunden, der auf den unbefugten Fernzugriff über SSH (Backdoor) und die Ausführung von Befehlen (CVE-2024-3094) abzielt. Die Schadsoftware wurde in den Versionen 5.6.0 und 5.6.1 implementiert und hat, wie OpenNet berichtete, es geschafft, in die Builds und Repositories von Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker und rolling, pkgsrc current, Slackware current, Manjaro, Void Linux einzudringen. Allerdings kann die Backdoor nicht überall aktiviert werden. Die Situation wird dadurch verschärft, dass der Entwickler, der ins Visier geraten ist, in den letzten Jahren auch an verwandten Projekten der Community beteiligt war. Daher gibt es keinen Grund, dem Quellcode von xz zu vertrauen, bis alle Einzelheiten und Folgen des Vorfalls geklärt sind. Insbesondere wurde das entsprechende Repository auf GitHub bereits mit der Nachricht gesperrt: „Der Zugriff auf dieses Repository wurde von Mitarbeitern von GitHub wegen Verletzung der Nutzungsbedingungen von GitHub gesperrt."
Quelle: 3dnews.ru
