{"id":116209,"date":"2024-05-30T15:40:12","date_gmt":"2024-05-30T13:40:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora"},"modified":"2024-05-30T15:40:12","modified_gmt":"2024-05-30T13:40:12","slug":"proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","title":{"rendered":"El proyecto XZ ha publicado el resultado de la auditor\u00eda de commits y la primera actualizaci\u00f3n tras la detecci\u00f3n de un backdoor.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lasse Collin, el antiguo mantenedor del proyecto xz, que en 2022 transfiri\u00f3 sus derechos al nuevo mantenedor Jia Tan, cuyas actividades llevaron a la implementaci\u00f3n de un backdoor, public\u00f3 versiones corregidas del paquete XZ Utils 5.2.13, 5.4.7 y 5.6.2, en las que se eliminaron componentes del backdoor y otros cambios sospechosos a\u00f1adidos como resultado de la actividad maliciosa del anterior mantenedor. <\/p>\n
Adem\u00e1s, se public\u00f3 un informe sobre la revisi\u00f3n del repositorio de Git y los cambios a\u00f1adidos desde diciembre de 2022 durante el mandato de Jia Tan como mantenedor. Los cambios se desglosan a nivel de commits individuales. Los commits en el repositorio no fueron firmados digitalmente, pero no se encontraron pruebas de falsificaci\u00f3n por parte de los committers. En total, se eliminaron 8 commits maliciosos del repositorio. <\/p>\n
Hasta ahora, el c\u00f3digo CRC CLMUL, que provoca falsas alarmas durante la verificaci\u00f3n en MSAN (Memory sanitizer) y problemas con OSS Fuzz, no ha sido eliminado de la base de c\u00f3digo. Se planea reestructurar este c\u00f3digo en el futuro, pero se ha decidido no tocarlo por ahora para evitar regresiones en ramas antiguas. No se encontraron cambios sospechosos en los commits antiguos, a\u00f1adidos antes de las modificaciones relacionadas con la promoci\u00f3n del backdoor. Se verificaron por separado los archivos po de localizaci\u00f3n, los metadatos en los archivos tar y los archivos comprimidos con lanzamientos y traducciones. <\/p>\n
Entre los cambios, tambi\u00e9n se destaca la inclusi\u00f3n de correcciones de errores acumuladas y la eliminaci\u00f3n del soporte para el mecanismo IFUNC, proporcionado en Glibc para la llamada indirecta de funciones, que se utiliz\u00f3 para organizar la interceptaci\u00f3n de funciones en el backdoor. Se se\u00f1al\u00f3 que el uso de IFUNC solo complica el c\u00f3digo, y la ganancia en rendimiento es m\u00ednima. Como medida de precauci\u00f3n, se elimin\u00f3 del paquete con los archivos de origen el logo de XZ, las versiones en PDF de las p\u00e1ginas man y dos pruebas para las arquitecturas x86 y SPARC, en las que se procesaron archivos objeto como datos de entrada. <\/p>\n
Entre las novedades, el decodificador xzdec ha a\u00f1adido soporte para la versi\u00f3n 4 del ABI del mecanismo de aislamiento de aplicaciones Landlock. En los scripts de construcci\u00f3n de Autotools se ha a\u00f1adido la opci\u00f3n \u00ab--enable-doxygen\u00bb, y en el script de Cmake el par\u00e1metro ENABLE_DOXYGEN para generar e instalar la documentaci\u00f3n de la API de liblzma usando Doxygen. La documentaci\u00f3n ya generada ha sido eliminada del paquete. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"