{"id":114665,"date":"2024-03-30T12:25:45","date_gmt":"2024-03-30T10:25:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/retrospektiva-prodvizheniya-bekdora-v-paket-xz"},"modified":"2024-03-30T12:25:45","modified_gmt":"2024-03-30T10:25:45","slug":"retrospektiva-prodvizheniya-bekdora-v-paket-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/retrospektiva-prodvizheniya-bekdora-v-paket-xz","title":{"rendered":"R\u00fcckblick auf die Verbreitung des Backdoors im Paket xz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Vermutlich wurde ein Backdoor im Paket xz von dem Entwickler Jia Tan eingebaut, der 2022 den Status eines Betreuers erhielt und seit Version 5.4.2 Releases ver\u00f6ffentlichte. Neben dem Projekt xz war der vermeintliche Autor des Backdoors auch an der Entwicklung der Pakete xz-java und xz-embedded beteiligt und wurde in die Liste der Maintainer des Projekts XZ Embedded aufgenommen, das im Linux-Kernel verwendet wird. <\/p>\n
Im Zusammenhang mit der Verbreitung des Backdoors wurden auch zwei weitere Teilnehmer gesichtet - Jigar Kumar und Hans Jansen, die anscheinend virtuelle Personen sind. Jigar Kumar unterst\u00fctzte im April 2022 die Annahme fr\u00fcherer Patches von Jia Tan in xz, die die Unterst\u00fctzung von String-Filtern implementierten, und \u00fcbte moralischen Druck auf Lasse Collin, den damaligen Betreuer, aus, indem er ihn kritisierte, dass er seinen Pflichten nicht nachkam und n\u00fctzliche Patches nicht akzeptierte. Im Juni stimmte Lasse Collin zu, dass das Projekt einen neuen Betreuer ben\u00f6tigte, klagte \u00fcber Ersch\u00f6pfung und psychische Probleme und \u00fcbergab das Recht des Maintainers an Jia Tan. Danach erschien der Benutzer Jigar Kumar nicht mehr in der Mailingliste. <\/p>\n
Nachdem Jia Tan die Rechte eines Maintainers erhalten hatte, begann er aktiv, \u00c4nderungen am Projekt vorzunehmen und belegte in den letzten zwei Jahren mit der h\u00f6chsten Anzahl an \u00c4nderungen den zweiten Platz unter den Entwicklern. Im M\u00e4rz 2023 wurde der f\u00fcr das Testing des xz-Pakets bei oss-fuzz zust\u00e4ndige Mitarbeiter von Lasse Collin auf Jia Tan ersetzt, und im Juni wurden \u00c4nderungen in xz aufgenommen, die die Unterst\u00fctzung f\u00fcr den IFUNC-Mechanismus in liblzma hinzuf\u00fcgten (der Konstruktor crc64_fast wurde durch ifunc ersetzt), der sp\u00e4ter f\u00fcr die Organisation des Funktionsinterceptors im Backdoor verwendet wurde. Die \u00c4nderungen wurden von Hans Jansen vorgeschlagen und von Jia Tan in xz angenommen. Das Konto von Hans Jansen wurde direkt vor dem Absenden des Pull-Requests erstellt. <\/p>\n
Im Juli 2023 sendete Jia Tan den Entwicklern von oss-fuzz eine Anfrage zur Deaktivierung der ifunc-Pr\u00fcfung aufgrund ihrer Inkompatibilit\u00e4t mit dem Modus \u201e-fsanitize=address\u201c. Anfang Februar 2024 wurde der Link zur Projektseite in oss-fuzz und auf der Hauptseite tukaani.org von \u201etukaani.org\/xz\/\u201c auf \u201exz.tukaani.org\u201c ge\u00e4ndert, wobei der Subdomain \u201exz.tukaani.org\u201c auf GitHub Pages gehostet und pers\u00f6nlich von Jia Tan kontrolliert wurde. Am 23. Februar wurden im Repository xz Archive zum Testen der Funktionsweise des Dekoders eingestellt, darunter die Dateien bad-3-corrupt_lzma2.xz und good-large_compressed.lzma mit einem versteckten Backdoor. M4-Makros zur Aktivierung des Backdoors waren nur im tar-Archiv mit der Version 5.6.0 enthalten und wurden aus dem Git-Repository ausgeschlossen, tauchten jedoch in der Datei .gitignore auf. <\/p>\n
Am 17. M\u00e4rz wurde Hans Jansen, der zuvor Patches zur Unterst\u00fctzung von IFUNC entwickelt hatte, als Teilnehmer des Debian-Projekts registriert, und am 25. M\u00e4rz wurde von ihm eine Anfrage zur Aktualisierung der Paketversion xz-utils im Debian-Repository gesendet. Auch an die Entwickler von Fedora und Ubuntu wurden Anfragen zur Aktualisierung der Version gerichtet (im Ubuntu-Repository befand sich die Version in der Freeze-Phase und die \u00c4nderung wurde abgelehnt). <\/p>\n
Einige Nutzer haben sich ebenfalls f\u00fcr ein Update der xz-Version ausgesprochen und berichtet, dass in der neuen Version st\u00f6rende Fehler behoben wurden, die beim Debuggen mit valgrind auftraten (die Probleme entstanden durch eine fehlerhafte Definition des Stack-Layouts im Backdoor-Handler, und die Entwickler der Backdoor haben versucht, diese Probleme in der Version xz 5.6.1 zu beheben). Auch Andres Freund, ein Mitarbeiter von Microsoft, der an der Entwicklung von PostgreSQL beteiligt ist, hat sich f\u00fcr den Fehler interessiert, der das Vorhandensein des Backdoors aufdeckte und die Community dar\u00fcber informierte. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"