{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Update XZ Utils 5.8.1 zur Behebung einer Sicherheitsanf\u00e4lligkeit","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ausgabe des XZ Utils-Pakets 5.8.1 wurde ver\u00f6ffentlicht, das die Bibliothek liblzma und Utilities zur Arbeit mit komprimierten Daten im Format enth\u00e4lt. XZ Utils 5.8.1 ist das erste bedeutende Release nach dem Vorfall mit dem entdeckten Backdoor, das einen Zugang \u00fcber sshd erm\u00f6glicht. In der letzten Woche wurde ein Tag 5.8.0 in Git erstellt, jedoch wurde das Release aufgrund von nach der Ver\u00f6ffentlichung des Tags festgestellten Leistungs- und Kompatibilit\u00e4tsproblemen mit \u00e4lteren Versionen von GNU make nicht offiziell angek\u00fcndigt. <\/p>\n
Im Update XZ Utils 5.8.1 wurde eine Schwachstelle (CVE-2025-31115) behoben, die zu einem Absturz beim Versuch f\u00fchrt, speziell gestaltete Archive zu entpacken. Die Schwachstelle wird durch den Zugriff auf bereits freigegebenen Speicher (use after free) verursacht. Ein Angreifer k\u00f6nnte erreichen, dass sein Wert an einer Adresse geschrieben wird, die als berechnet wird. Das Problem wird als unbeabsichtigter Fehler betrachtet, da die verursachende \u00c4nderung lange vor dem Eintritt des Entwicklers Jia Tan in das Projekt vorgenommen wurde, dessen T\u00e4tigkeit zur Einf\u00fchrung des Backdoors f\u00fchrte. <\/p>\n
Das Problem tritt seit der Version XZ Utils 5.3.3alpha auf, beim Dekodieren im Multithread-Modus (der Einzelthread-Dekodierer ist von dem Problem nicht betroffen). Neben den Standard-Utilities aus dem xz-Paket tritt die Schwachstelle auch in Drittanbieterprogrammen auf, die die Funktion lzma_stream_decoder_mt aus der Bibliothek liblzma verwenden. Die Schwachstelle wurde in der Version XZ Utils 5.8.1 behoben und auch in die stabilen Zweige 5.4 und 5.6 \u00fcbertragen. Informationen \u00fcber Updates in den Distributionen k\u00f6nnen auf den folgenden Seiten verfolgt werden: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Als Umgehungsschutz kann das Dekodieren von Dateien im Multithread-Modus deaktiviert werden, indem beim Start von xz die Optionen verwendet oder das Utility xzdec angewendet wird. <\/p>\n
Funktionale \u00c4nderungen in der Version XZ Utils 5.8 sind: <\/p>\n
\n
Im LZMA\/LZMA2-Dekodierer wurde die M\u00f6glichkeit hinzugef\u00fcgt, SSE2-Befehle anstelle von memcpy() auf 32- und 64-Bit-x86-Systemen zu verwenden. Diese \u00c4nderung konnte die Dekodierzeit um bis zu 5% bei einer Glibc-Build und um bis zu 15% bei einer musl-Build beim Entpacken von Dateien mit sehr hohem Kompressionsgrad reduzieren.\n
In liblzma wurde die Kodierungsgeschwindigkeit auf 64-Bit-Systemen PowerPC und RISC-V erh\u00f6ht.\n
In lzma\/bcj.h wurde eine Low-Level-API f\u00fcr BCJ-Filter (Branch\/Call\/Jump) f\u00fcr RISC-V-, ARM64- und x86-Systeme hinzugef\u00fcgt.\n
Der Code zur Berechnung des CLMUL CRC f\u00fcr x86-, x86-64- und E2K-Systeme wurde neu geschrieben.\n
Auf Plattformen mit LoongArch-Prozessoren werden Befehle zur Beschleunigung der CRC32-Pr\u00fcfzahlenberechnung verwendet.\n
In der Utility wurde der Aufruf der Funktion fsync() implementiert, um die Dateicaches f\u00fcr die Ausgabedatei vor dem L\u00f6schen der Quelldatei zu leeren. Um die Synchronisation vor dem L\u00f6schen zu deaktivieren, wurde die Option realisiert.\n
In den Utilities xz, xzdec und lzmainfo wird beim Ausgeben von Informationen auf dem Bildschirm sichergestellt, dass nicht druckbare Zeichen durch ein Fragezeichen ersetzt werden.\n
In xz und xzdec wurde auf der Linux-Plattform Unterst\u00fctzung f\u00fcr die Versionen 5 und 6 des Landlock-Mechanismus zur Isolierung von Prozessen implementiert.\n
Ein Skript zur \u00dcberpr\u00fcfung von Lizenzen wurde hinzugef\u00fcgt: build-aux\/license-check.sh.\n
Die Skripte lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep und lzfgrep, die als Erweiterungen \u00fcber das Tool xz implementiert wurden, wurden als veraltet erkl\u00e4rt. <\/ul>\n