Der Debian-Entwickler und Sicherheitsforscher Andres Freund berichtet von der Entdeckung eines möglichen Backdoors im Quellcode von xz Version 5.6.0 und 5.6.1.
Das Backdoor stellt eine Zeile in einem der m4-Skripte dar, die obfuskierten schädlichen Code ans Ende des Konfigurationsskripts anhängt. Dieser Code modifiziert anschließend eine der generierten Makefile-Dateien des Projekts, was letztendlich dazu führt, dass schädlicher Code (maskiert als ein Testarchiv bad-3-corrupt_lzma2.xz) in die Binärdatei liblzma gelangt.
Das Besondere an diesem Vorfall ist, dass der schädliche Code nur in den verbreiteten tar-Archiven mit Quellcode enthalten ist und nicht im git-Repository des Projekts vorhanden ist.
Es wird berichtet, dass die Person, in dessen Namen der schädliche Code in das Repository eingefügt wurde, entweder direkt in die Angelegenheit verwickelt ist oder ein Opfer einer schwerwiegenden Kompromittierung ihrer persönlichen Konten geworden ist (der Forscher neigt jedoch zur ersten Variante, da diese Person persönlich an mehreren Diskussionen über die schädlichen Änderungen teilgenommen hat).
In dem Link weist der Forscher darauf hin, dass das Ziel des Backdoors anscheinend die Code-Injektion in den sshd-Prozess und die Manipulation der RSA-Schlüsselprüfungslogik ist, und führt mehrere Möglichkeiten an, indirekt zu überprüfen, ob schädlicher Code derzeit auf Ihrem System ausgeführt wird.
Laut einem Nachrichtenartikel des openSUSE-Projekts, aufgrund der Komplexität des Backdoor-Codes und des vermuteten Mechanismus seiner Ausnutzung ist es schwierig festzustellen, ob es auf diesem Rechner jemals "ausgelöst" wurde, und empfiehlt eine vollständige Neuinstallation des Betriebssystems mit der Rotation aller relevanten Schlüssel auf allen Maschinen, die jemals mit den infizierten Versionen von xz in Kontakt kamen.
Quelle: linux.org.ru
