Se presume que una puerta trasera en el paquete xz fue introducida por el desarrollador Jia Tan, quien en 2022 obtuvo el estatus de mantenedor y comenz\u00f3 a lanzar versiones a partir de la 5.4.2. Adem\u00e1s del proyecto xz, el autor presunto de la puerta trasera tambi\u00e9n particip\u00f3 en el desarrollo de los paquetes xz-java y xz-embedded, y fue incluido entre los mantenedores del proyecto XZ Embedded, utilizado en el n\u00facleo de Linux. <\/p>\n
En la organizaci\u00f3n de promoci\u00f3n del backdoor tambi\u00e9n se han identificado a otros dos participantes \u2014 Jigar Kumar y Hans Jansen, quienes, seg\u00fan parece, son personajes virtuales. Jigar Kumar, en abril de 2022, ayud\u00f3 a aceptar en xz los primeros parches de Jia Tan con la implementaci\u00f3n de soporte para filtros de cadenas y presion\u00f3 moralmente a Lasse Collin, el mantenedor de ese momento, criticando que no era capaz de desempe\u00f1ar sus funciones y no aceptaba parches \u00fatiles. En junio, Lasse Collin acept\u00f3 que el proyecto necesitaba un nuevo mantenedor, lament\u00f3 su agotamiento y problemas de salud mental, y transfiri\u00f3 el derecho de mantenimiento a Jia Tan. Despu\u00e9s de eso, el usuario Jigar Kumar ya no apareci\u00f3 en la lista de correos. <\/p>\n
Una vez que Jia Tan obtuvo los derechos de mantenimiento, comenz\u00f3 a agregar cambios activamente al proyecto y, seg\u00fan las estad\u00edsticas de dos a\u00f1os, ocup\u00f3 el segundo lugar entre los desarrolladores en cuanto al n\u00famero de cambios. En marzo de 2023, el responsable de pruebas del paquete xz en el servicio oss-fuzz fue cambiado de Lasse Collin a Jia Tan, y en junio se aceptaron cambios en xz que a\u00f1adieron al liblzma el soporte para el mecanismo IFUNC (el constructor crc64_fast fue reemplazado por ifunc), que m\u00e1s tarde fue utilizado para organizar la interceptaci\u00f3n de funciones en la puerta trasera. El cambio fue propuesto por Hans Jansen, y Jia Tan lo acept\u00f3 en xz. La cuenta de Hans Jansen fue creada justo antes de enviar la solicitud de extracci\u00f3n. <\/p>\n
En julio de 2023, Jia Tan envi\u00f3 a los desarrolladores de oss-fuzz una solicitud para desactivar la verificaci\u00f3n ifunc debido a su incompatibilidad con el modo \u2018-fsanitize=address\u2019. A principios de febrero de 2024, el enlace al sitio del proyecto en oss-fuzz y en la p\u00e1gina principal de tukaani.org fue modificado de \u2018tukaani.org\/xz\/\u2019 a \u2018xz.tukaani.org\u2019, donde el subdominio \u2018xz.tukaani.org\u2019 estaba alojado en el servicio GitHub Pages y era controlado personalmente por Jia Tan. El 23 de febrero, se publicaron en el repositorio de xz archivos para probar el funcionamiento del decodificador, entre los que se encontraban archivos bad-3-corrupt_lzma2.xz y good-large_compressed.lzma con un backdoor oculto. Los macros de M4 para activar el backdoor estaban incluidos solo en el tar de lanzamiento 5.6.0 y fueron excluidos del repositorio de Git, pero aparecieron en el archivo .gitignore. <\/p>\n
El 17 de marzo, Hans Jansen, quien anteriormente desarroll\u00f3 parches con soporte para IFUNC, fue registrado como colaborador del proyecto Debian, y el 25 de marzo envi\u00f3 una solicitud para actualizar la versi\u00f3n del paquete xz-utils en el repositorio de Debian. Tambi\u00e9n se enviaron solicitudes de actualizaci\u00f3n de versi\u00f3n a los desarrolladores de Fedora y Ubuntu (en Ubuntu el repositorio estaba en fase de congelaci\u00f3n y el cambio fue rechazado). <\/p>\n
A la solicitud de actualizar la versi\u00f3n de xz tambi\u00e9n se unieron algunos usuarios que afirmaron que en la nueva versi\u00f3n se hab\u00edan corregido errores que interfer\u00edan con el funcionamiento, identificados durante la depuraci\u00f3n en valgrind (los problemas surgieron debido a la incorrecta identificaci\u00f3n del dise\u00f1o de la pila en el manejador del backdoor y estos problemas fueron abordados por los desarrolladores del backdoor en la versi\u00f3n xz 5.6.1). El fallo tambi\u00e9n atrajo la atenci\u00f3n de Andres Freund, un empleado de Microsoft que participa en el desarrollo de PostgreSQL, quien descubri\u00f3 la existencia del backdoor y notific\u00f3 a la comunidad. \u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u044d\u043a\u0434\u043e\u0440 \u0432 \u043f\u0430\u043a\u0435\u0442 xz \u0431\u044b\u043b \u0432\u043d\u0435\u0434\u0440\u0451\u043d \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c Jia Tan, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 2022 \u0433\u043e\u0434\u0443 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u0442\u0430\u0442\u0443\u0441 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u043b \u0440\u0435\u043b\u0438\u0437\u044b \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0432\u0435\u0440\u0441\u0438\u0438 5.4.2. \u041f\u043e\u043c\u0438\u043c\u043e \u043f\u0440\u043e\u0435\u043a\u0442\u0430 xz \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c\u044b\u0439 \u0430\u0432\u0442\u043e\u0440 \u0431\u044d\u043a\u0434\u043e\u0440\u0430 \u0442\u0430\u043a\u0436\u0435 \u0443\u0447\u0430\u0441\u0442\u0432\u043e\u0432\u0430\u043b \u0432 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 xz-java \u0438 xz-embedded, \u0438 \u0431\u044b\u043b \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u0432 \u0447\u0438\u0441\u043b\u043e \u043c\u044d\u0439\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 XZ Embedded, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0433\u043e \u0432 \u044f\u0434\u0440\u0435 Linux. \u0412 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0434\u0432\u0438\u0436\u0435\u043d\u0438\u044f \u0431\u044d\u043a\u0434\u043e\u0440\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-114665","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Retrospectiva del avance del backdoor en el paquete xz | ProHoster","description":"Se presume que el backdoor en el paquete xz fue implementado por el desarrollador Jia Tan, quien en 2022 obtuvo el estatus de mantenedor y comenz\u00f3 a lanzar versiones a partir de la 5.4.2.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/retrospektiva-prodvizheniya-bekdora-v-paket-xz","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0435\u0442\u0440\u043e\u0441\u043f\u0435\u043a\u0442\u0438\u0432\u0430 \u043f\u0440\u043e\u0434\u0432\u0438\u0436\u0435\u043d\u0438\u044f \u0431\u044d\u043a\u0434\u043e\u0440\u0430 \u0432 \u043f\u0430\u043a\u0435\u0442 xz | ProHoster","og:description":"\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u044d\u043a\u0434\u043e\u0440 \u0432 \u043f\u0430\u043a\u0435\u0442 xz \u0431\u044b\u043b \u0432\u043d\u0435\u0434\u0440\u0451\u043d \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c Jia Tan, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 2022 \u0433\u043e\u0434\u0443 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u0442\u0430\u0442\u0443\u0441 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u043b \u0440\u0435\u043b\u0438\u0437\u044b \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0432\u0435\u0440\u0441\u0438\u0438 5.4.2.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/retrospektiva-prodvizheniya-bekdora-v-paket-xz","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-03-30T10:25:45+00:00","article:modified_time":"2024-03-30T10:25:45+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/114665","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=114665"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/114665\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=114665"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=114665"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=114665"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"