{"id":116209,"date":"2024-05-30T15:40:12","date_gmt":"2024-05-30T13:40:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora"},"modified":"2024-05-30T15:40:12","modified_gmt":"2024-05-30T13:40:12","slug":"proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","title":{"rendered":"Das XZ-Projekt hat das Ergebnis des Commit-Audits ver\u00f6ffentlicht und das erste Update nach der Entdeckung des Backdoors bereitgestellt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lasse Collin, der alte Betreuer des xz-Projekts, \u00fcbergab 2022 die Rechte an den neuen Betreuer Jia Tan. Seine T\u00e4tigkeit f\u00fchrte zur Einf\u00fchrung einer Hintert\u00fcr. Korrigierte Versionen des XZ Utils-Pakets 5.2.13, 5.4.7 und 5.6.2 wurden ver\u00f6ffentlicht, in denen die Komponenten der Hintert\u00fcr sowie andere verd\u00e4chtige \u00c4nderungen, die durch sch\u00e4dliche Aktivit\u00e4ten des vorherigen Betreuers hinzugef\u00fcgt wurden, entfernt wurden. <\/p>\n
Dar\u00fcber hinaus wurde ein Bericht \u00fcber die \u00dcberpr\u00fcfung des Git-Repositories und der \u00c4nderungen ver\u00f6ffentlicht, die seit Dezember 2022 w\u00e4hrend der Amtszeit von Jia Tan als Betreuer hinzugef\u00fcgt wurden. Die \u00c4nderungen wurden auf Ebene einzelner Commits analysiert. Die Commits im Repository waren nicht mit einer digitalen Signatur versehen, jedoch wurden keine Hinweise auf F\u00e4lschungen seitens der Committern gefunden. Insgesamt wurden 8 sch\u00e4dliche Commits aus dem Repository entfernt. <\/p>\n
Der Code f\u00fcr CRC CLMUL wurde bisher nicht aus der Codebasis entfernt, was zu falschen Ausl\u00f6sungen bei der \u00dcberpr\u00fcfung in MSAN (Memory Sanitizer) und Problemen mit OSS Fuzz f\u00fchrt. Dieser Code soll in Zukunft \u00fcberarbeitet werden, bleibt jedoch vorerst unber\u00fchrt, um Regressionen in alten Branches zu vermeiden. Es wurden keine verd\u00e4chtigen \u00c4nderungen in alten Commits, die vor den \u00c4nderungen zur F\u00f6rderung des Backdoors hinzugef\u00fcgt wurden, festgestellt. Separat wurden die po-Dateien der Lokalisierung, die Metadaten in den tar-Dateien sowie die Archive mit Releases und \u00dcbersetzungen \u00fcberpr\u00fcft. <\/p>\n
Zu den \u00c4nderungen geh\u00f6rt auch die Integration angesammelter Bugfixes und die Entfernung der Unterst\u00fctzung f\u00fcr den IFUNC-Mechanismus, der in Glibc f\u00fcr den indirekten Funktionsaufruf bereitgestellt wurde und zur Implementierung einer Funktions\u00fcberwachung im Backdoor verwendet wurde. Es wurde festgestellt, dass die Verwendung von IFUNC den Code nur komplizierter macht, ohne dass der Leistungsgewinn signifikant ist. Zum Schutz wurden auch das XZ-Logo, die PDF-Versionen der Man-Seiten und zwei Tests f\u00fcr die Architekturen x86 und SPARC, die Objektdateien als Eingabedaten verwendeten, aus dem Quellpaket entfernt. <\/p>\n
Neuigkeiten: Der Decoder xzdec unterst\u00fctzt jetzt die Version 4 des ABI f\u00fcr den Landlock-Anwendungsisolation-Mechanismus. In die Autotools-Bau-Skripte wurde die Option «—enable-doxygen» hinzugef\u00fcgt, und im CMake-Skript der Parameter ENABLE_DOXYGEN zur Generierung und Installation der Dokumentation der API liblzma unter Verwendung von Doxygen. Die bereits generierte Dokumentation wurde aus dem Paket entfernt. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"