In xz/liblzma wurde schadhafter Code festgestellt, der darauf abzielt, unbefugten Remote-Zugriff über SSH (Backdoor) zu erhalten und Befehle auszuführen (CVE-2024-3094). Die Schadsoftware wurde in den Versionen 5.6.0 und 5.6.1 implementiert und hat es laut OpenNet in die Builds und Repositories von Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker und rolling, pkgsrc current, Slackware current und Manjaro, Void Linux geschafft. Allerdings kann die Backdoor längst nicht überall aktiviert werden. Die Situation wird durch die Tatsache verschärft, dass der verdächtigte Entwickler in den letzten Jahren auch an verwandten Projekten der Community beteiligt war. Daher bestehen keine Gründe, dem Quellcode von xz bis zur Klärung aller Einzelheiten und Folgen des Vorfalls zu vertrauen. Insbesondere wurde das entsprechende Repository auf GitHub bereits mit der Nachricht gesperrt: „Der Zugriff auf dieses Repository wurde von den Mitarbeitern von GitHub aufgrund eines Verstoßes gegen die Nutzungsbedingungen von GitHub gesperrt.“
Quelle: 3dnews.ru
