xz/liblzma-s on tuvastati pahavara, mis suunab ebakorrektse kaugjuurdepääsu saamisele SSH kaudu (tagauks) ja käskude täitmisele (CVE-2024-3094). Sissetungija oli integreeritud versioonides 5.6.0 ja 5.6.1 ning, nagu teatab OpenNet, on see jõudnud Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker ja rolling, pkgsrc current, Slackware current, Manjaro ja Void Linuxi koostamisse ja hoidlatest. Siiski ei pruugi tagauks olla aktiivne kõikjal. Probleemi süvendab asjaolu, et arendaja, keda kahtlustatakse, on viimasel ajal osalenud ka seonduvates kogukonna projektides. Seetõttu pole xz algse koodi osas usaldusväärsuse alust, kuni kõik detailid ja tagajärjed on välja selgitatud. Eriti on vastav hoidla GitHubis juba blokeeritud sõnumiga: „Sellele hoidlale on juurdepääs blokeeritud GitHubi töötajate poolt, kuna see rikkus GitHubi teenuse kasutamise tingimusi.”
Allikas: 3dnews.ru
