{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Actualizaci\u00f3n XZ Utils 5.8.1 corrige una vulnerabilidad","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha publicado la versi\u00f3n del paquete XZ Utils 5.8.1, que incluye la biblioteca liblzma y herramientas para trabajar con datos comprimidos en formato .xz . XZ Utils 5.8.1 se ha convertido en la primera versi\u00f3n significativa tras el incidente de seguridad que revel\u00f3 un backdoor para acceder a trav\u00e9s de sshd. La semana pasada, se cre\u00f3 una etiqueta 5.8.0 en Git, pero el lanzamiento no fue anunciado oficialmente debido a los problemas de rendimiento y compatibilidad con versiones anteriores de GNU make que se identificaron despu\u00e9s de la publicaci\u00f3n de la etiqueta. <\/p>\n
La actualizaci\u00f3n de XZ Utils 5.8.1 corrige una vulnerabilidad (CVE-2025-31115) que provoca un cierre inesperado al intentar descomprimir archivos manipulados de manera espec\u00edfica. La vulnerabilidad es causada por el acceso a un \u00e1rea de memoria que ya ha sido liberada (uso despu\u00e9s de liberar). Un atacante puede conseguir escribir su valor en una direcci\u00f3n calculada como null pointer + offset . El problema se considera un error involuntario, ya que el cambio que lo caus\u00f3 se realiz\u00f3 en el c\u00f3digo mucho antes de que el desarrollador Jia Tan se uniera al proyecto, cuyas actividades llevaron a la introducci\u00f3n del backdoor. <\/p>\n
El problema se presenta a partir del lanzamiento de XZ Utils 5.3.3alpha al decodificar en modo multihilo (el decodificador de un solo hilo no se ve afectado). Adem\u00e1s de las herramientas est\u00e1ndar del paquete xz, la vulnerabilidad tambi\u00e9n se manifiesta en programas de terceros que utilizan la funci\u00f3n lzma_stream_decoder_mt de la biblioteca liblzma. La vulnerabilidad se ha corregido en el lanzamiento de XZ Utils 5.8.1 y tambi\u00e9n se ha trasladado a las ramas estables 5.4 y 5.6. Se puede dar seguimiento a las actualizaciones en las distribuciones en las siguientes p\u00e1ginas: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Como soluci\u00f3n alternativa de protecci\u00f3n, se puede desactivar la decodificaci\u00f3n de archivos en modo multihilo utilizando las opciones --decompress --threads=1 al iniciar xz o aplicando la herramienta xzdec. <\/p>\n
Entre los cambios funcionales en la rama de XZ Utils 5.8 se pueden destacar: <\/p>\n
\n
Se ha a\u00f1adido la capacidad de usar instrucciones SSE2 en lugar de la funci\u00f3n memcpy() en el decodificador LZMA\/LZMA2 en sistemas x86 de 32 y 64 bits. Este cambio ha permitido reducir el tiempo de decodificaci\u00f3n en un 5% al compilar con Glibc, y hasta un 15% al compilar con musl al descomprimir archivos con un nivel de compresi\u00f3n muy alto.\n
En liblzma se ha mejorado la velocidad de codificaci\u00f3n en sistemas de 64 bits PowerPC y RISC-V.\n
Se ha a\u00f1adido una API de bajo nivel para los filtros BCJ (Branch\/Call\/Jump) en lzma\/bcj.h para los sistemas RISC-V, ARM64 y x86.\n
Se ha reescrito el c\u00f3digo de c\u00e1lculo de CLMUL CRC para los sistemas x86, x86-64 y E2K.\n
En las plataformas con procesadores LoongArch se utilizan instrucciones para acelerar el c\u00e1lculo de sumas de verificaci\u00f3n CRC32.\n
En la herramienta xz se ha garantizado la llamada a la funci\u00f3n fsync() para vaciar los cach\u00e9s de archivos del archivo resultante antes de eliminar el archivo original. Para desactivar la sincronizaci\u00f3n antes de la eliminaci\u00f3n, se ha implementado la opci\u00f3n --no-sync .\n
En las utilidades xz, xzdec y lzmainfo, al mostrar informaci\u00f3n en la pantalla se ha asegurado la sustituci\u00f3n de caracteres no imprimibles por un signo de interrogaci\u00f3n.\n
En xz y xzdec en la plataforma Linux se ha implementado soporte para las versiones 5 y 6 del mecanismo Landlock para aislar el proceso.\n
Se ha a\u00f1adido un script para la verificaci\u00f3n de licencias build-aux\/license-check.sh.\n
Se han declarado obsoletos los scripts lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep y lzfgrep, implementados como extensiones sobre la utilidad xz. <\/ul>\n