{"id":116209,"date":"2024-05-30T15:40:12","date_gmt":"2024-05-30T13:40:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora"},"modified":"2024-05-30T15:40:12","modified_gmt":"2024-05-30T13:40:12","slug":"proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","title":{"rendered":"Projekt XZ hat das Ergebnis der \u00dcberpr\u00fcfung von Commits und das erste Update nach der Entdeckung eines Backdoors ver\u00f6ffentlicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lasse Collin, der alte Betreuer des xz-Projekts, \u00fcbergab 2022 die Rechte an den neuen Betreuer Jia Tan, dessen Aktivit\u00e4ten zur Einf\u00fchrung eines Backdoors f\u00fchrten. Er ver\u00f6ffentlichte die korrigierten Versionen des Pakets XZ Utils 5.2.13, 5.4.7 und 5.6.2, in denen die Backdoor-Komponenten und andere verd\u00e4chtige \u00c4nderungen, die durch die b\u00f6swilligen Aktivit\u00e4ten des vorherigen Betreuers hinzugef\u00fcgt wurden, entfernt wurden. <\/p>\n
Zudem wurde ein Bericht \u00fcber die \u00dcberpr\u00fcfung des Git-Repositories und der seit Dezember 2022 w\u00e4hrend der Amtszeit von Jia Tan hinzugef\u00fcgten \u00c4nderungen ver\u00f6ffentlicht. Die \u00c4nderungen sind auf Ebene der einzelnen Commits analysiert. Die Commits im Repository wurden nicht digital signiert, aber es wurden keine Hinweise auf F\u00e4lschungen seitens der Committern gefunden. Insgesamt wurden 8 b\u00f6swillige Commits aus dem Repository entfernt. <\/p>\n
Der CRC CLMUL-Code, der zu Fehlalarms bei der \u00dcberpr\u00fcfung im MSAN (Memory Sanitizer) f\u00fchrt und Probleme mit OSS Fuzz verursacht, wurde bisher nicht aus dem Code entfernt. Dieser Code soll in Zukunft \u00fcberarbeitet werden, bleibt aber vorerst unber\u00fchrt, um Regressionen in alten Branches zu vermeiden. Verd\u00e4chtige \u00c4nderungen in alten Commits, die vor den mit dem Backdoor-Vorsto\u00df verbundenen \u00c4nderungen hinzugef\u00fcgt wurden, wurden nicht festgestellt. Separat wurden die po-Dateien der Lokalisierung, die Metadaten in den Tar-Dateien und die Archive mit den Releases und \u00dcbersetzungen \u00fcberpr\u00fcft. <\/p>\n
Zu den \u00c4nderungen geh\u00f6rt auch die Aufnahme der gesammelten Bugfixes und die Entfernung der Unterst\u00fctzung f\u00fcr den IFUNC-Mechanismus, der in Glibc f\u00fcr indirekte Funktionsaufrufe bereitgestellt wird, der im Backdoor verwendet wurde, um Funktionsaufrufe abzufangen. Es wurde festgestellt, dass die Verwendung von IFUNC den Code nur komplizierter macht und der Leistungsvorteil nicht signifikant ist. Als Vorsichtsma\u00dfnahme wurden auch das XZ-Logo, die PDF-Versionen der Man-Seiten und zwei Tests f\u00fcr die Architekturen x86 und SPARC, in denen Objektdateien als Eingabedaten verarbeitet wurden, aus dem Paket mit den Quellcodes entfernt. <\/p>\n
Zu den Neuerungen im Decoder xzdec geh\u00f6rt die Unterst\u00fctzung der 4. Version der ABI des Landlock-Anwendungsisolationsmechanismus. In die Build-Skripte von Autotools wurde die Option \u201a\u2014enable-doxygen\u2018 aufgenommen, und im Cmake-Skript der Parameter ENABLE_DOXYGEN zur Generierung und Installation der Dokumentation der API liblzma unter Verwendung von Doxygen. Die bereits generierte Dokumentation wurde aus dem Paket entfernt. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"