{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Aktualisierung von XZ Utils 5.8.1 mit Behebung einer Sicherheitsanf\u00e4lligkeit","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Ver\u00f6ffentlichung des XZ Utils-Pakets 5.8.1, das die Bibliothek liblzma und Tools zur Arbeit mit komprimierten Daten im Format enth\u00e4lt, ist abgeschlossen. XZ Utils 5.8.1 ist das erste bedeutende Release nach dem Vorfall mit der Entdeckung eines Backdoors, das den Zugang \u00fcber sshd erm\u00f6glichte. In der letzten Woche wurde ein Tag 5.8.0 in Git erstellt, jedoch wurde das Release aufgrund nach der Ver\u00f6ffentlichung des Tags entdeckter Leistungs- und Kompatibilit\u00e4tsprobleme mit \u00e4lteren Versionen von GNU make nicht offiziell angek\u00fcndigt. <\/p>\n
In dem Update XZ Utils 5.8.1 wurde eine Schwachstelle (CVE-2025-31115) behoben, die zu einem Absturz f\u00fchrte, wenn versucht wurde, speziell gestaltete Archive zu entpacken. Die Schwachstelle wird durch den Zugriff auf einen bereits freigegebenen Speicherbereich (use after free) verursacht. Ein Angreifer kann erreichen, dass sein Wert an einer Adresse geschrieben wird, die als berechnet wird. Das Problem wird als unbeabsichtigter Fehler angesehen, da die \u00c4nderung, die es verursacht hat, lange vor dem Einstieg des Entwicklers Jia Tan in das Projekt, dessen T\u00e4tigkeit zur Einf\u00fchrung des Backdoors f\u00fchrte, in den Code eingef\u00fcgt wurde. <\/p>\n
Das Problem tritt seit der Ver\u00f6ffentlichung von XZ Utils 5.3.3alpha beim Dekodieren im Mehrthreading-Modus auf (einzelner Dekodierer ist nicht betroffen). Neben den regul\u00e4ren Utilities des xz-Pakets tritt die Schwachstelle auch in Drittanbieteranwendungen auf, die die Funktion lzma_stream_decoder_mt aus der Bibliothek liblzma verwenden. Die Schwachstelle wurde in der Ver\u00f6ffentlichung XZ Utils 5.8.1 sowie in den stabilen Zweigen 5.4 und 5.6 behoben. Updates in den Distributionen k\u00f6nnen auf folgenden Seiten verfolgt werden: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Als vor\u00fcbergehende Schutzma\u00dfnahme kann die Dekodierung von Dateien im Mehrthreading-Modus deaktiviert werden, indem beim Start von xz die Optionen verwendet oder das Utility xzdec eingesetzt wird. <\/p>\n
Zu den funktionalen \u00c4nderungen in der Version XZ Utils 5.8 geh\u00f6ren: <\/p>\n
\n
Im LZMA\/LZMA2-Dekodierer wurde die M\u00f6glichkeit hinzugef\u00fcgt, anstelle der Funktion memcpy() auf 32- und 64-Bit x86-Systemen SSE2-Instruktionen zu verwenden. Diese \u00c4nderung hat die Dekodierzeit um bis zu 5 % bei der Kompilierung mit Glibc und um bis zu 15 % bei der Kompilierung mit musl beim Entpacken von Dateien mit sehr hohem Komprimierungsgrad reduziert.\n
In liblzma wurde die Kodierungsgeschwindigkeit auf 64-Bit-Systemen PowerPC und RISC-V erh\u00f6ht.\n
In lzma\/bcj.h wurde eine Low-Level-API f\u00fcr BCJ-Filter (Branch\/Call\/Jump) f\u00fcr RISC-V-, ARM64- und x86-Systeme hinzugef\u00fcgt.\n
Der Code zur Berechnung der CLMUL CRC f\u00fcr x86-, x86-64- und E2K-Systeme wurde neu geschrieben.\n
Auf Plattformen mit LoongArch-Prozessoren werden Anweisungen zur Beschleunigung der Berechnung von CRC32-Pr\u00fcfziffern eingesetzt.\n
Im Utility wurde der Aufruf der Funktion fsync() implementiert, um die Dateicaches f\u00fcr die resultierende Datei vor dem L\u00f6schen der urspr\u00fcnglichen Datei zu leeren. Um die Synchronisation vor dem L\u00f6schen zu deaktivieren, wurde die Option implementiert.\n
In den Dienstprogrammen xz, xzdec und lzmainfo wird bei der Ausgabe von Informationen auf dem Bildschirm eine Ersetzung von nicht druckbaren Zeichen durch ein Fragezeichen gew\u00e4hrleistet.\n
In xz und xzdec gibt es unter Linux Unterst\u00fctzung f\u00fcr die Versionen 5 und 6 des Mechanismus Landlock zur Isolierung des Prozesses.\n
Ein Skript zur \u00dcberpr\u00fcfung der Lizenzen wurde hinzugef\u00fcgt: build-aux\/license-check.sh.\n
Die Skripte lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep und lzfgrep, die als Erweiterungen des Dienstprogramms xz realisiert wurden, wurden als veraltet erkl\u00e4rt. <\/ul>\n