Eeldatavalt on xz paketi tagumine uks sisse viidud arendaja Jia Tan poolt, kes sai 2022. aastal hooldaja staatuse ja avaldas versioonist 5.4.2 alates väljaandeid. Lisaks xz projektile on eeldatav tagumise ukse autor olnud kaasatud ka xz-java ja xz-embedded pakettide arendamisse ning temast on saanud XZ Embedded projekti hooldaja, mida kasutatakse Linuxi tuumas.
Tagumise ukse edendamise organisatsioonis on samuti tuvastatud veel kaks osalejat — Jigar Kumar ja Hans Jansen, kes näivad olevat virtuaalsed isikud. Jigar Kumar aitas aprillis 2022. aastal Jia Tan'i esialgsete patšide vastuvõtmist xz, mis sisaldas stringifiltrite toe rakendamist, ning avaldas moraalset survet toona hooldaja olnud Lasse Collin'i peale, kritiseerides, et ta ei suuda oma kohustusi täita ega võta kasulikke patše vastu. Juunis nõustus Lasse Collin, et projekt vajab uut hooldajat, kaebas väsimuse ja vaimse tervise probleemide üle ning andis hooldaja õiguse Jia Tan'ile. Pärast seda ei ole kasutaja Jigar Kumar enam postitusse ilmunud.
Saades maintainer'i õigused, on Jia Tan aktiivselt lisanud muudatusi projekti ja kahe aasta statistika kohaselt saavutas ta arendajate seas muudatuste arvu järgi teise koha. Märtsis 2023 asendati paketi xz testimise eest vastutav Lasse Collin Jia Taniga, ning juunis võeti xz-sse muudatused, mis lisavad liblzma toe IFUNC mehhanismile (crc64_fast konstruktor asendati ifunc'iga), mida hiljem kasutati funktsioonide püüdmise korraldamiseks tagaukses. Muudatuse esitas Hans Jansen ning Jia Tan aktsepteeris selle xz-sse. Hans Jansen'i konto loodi vahetult enne pull-päringu saatmist.
2023. aasta juulis saatis Jia Tan oss-fuzz arendajatele päringu ifunci kontrolli keelamiseks, kuna see ei ühildu aadressi sanitiseerimise režiimiga. 2024. aasta veebruari alguses muudeti projekti link oss-fuzzi ja peamise lehe peal tukaani.org veebisaitide puhul aadressilt "tukaani.org/xz/" aadressile "xz.tukaani.org", kus alamsait "xz.tukaani.org" oli hostitud GitHub Pages teenuses ja seda kontrollis isiklikult Jia Tan. 23. veebruaril avaldati xz hoidlas dekoodri testimiseks arhiivid, sealhulgas failid bad-3-corrupt_lzma2.xz ja good-large_compressed.lzma, mis sisaldasid varjatud tagavara. M4-makrod tagavara aktiveerimiseks olid lisatud ainult versiooniga 5.6.0 tar-arhiivi ja need olid välja jäetud Git-hoidlast, kuid ilmnesid .gitignore failis.
17. märtsil registreeriti Hans Jansen, kes oli varem välja töötanud IFUNCi toetamiseks plaastrid, Debian projekti osalejana, ning 25. märtsil saadeti temalt soovitus paketi xz-utils versiooni värskendamiseks Debian hoidlas. Versiooni värskendamise taotlused esitati ka Fedora ja Ubuntu arendajatele (Ubuntu hoidla oli sulgemise etapis ja muudatusi ei aktsepteeritud).
Kaebustega xz versiooni uuendamiseks on liitunud mitmed kasutajad, kes on väitnud, et uues versioonis on kõrvaldatud töökatkestused, mis ilmnesid valgrindis silumisel (probleemid tulenesid vale virna paigutuse määratlemisest tagaspordis ja need probleemid suudeti xz versioonis 5.6.1 lahendada). Katkestuse mure tõttu võttis sõna ka Andres Freund, Microsofti töötaja, kes osaleb PostgreSQL arenduses ja kellel õnnestus ilmseks teha tagaspord ja teavitada sellest kogukonda.
Allikas: opennet.ru
