XZ Utils 5.8.1 värskendus haavatavuse kõrvaldamiseks

Avalikustatud on XZ Utils 5.8.1 väljalase, mis sisaldab liblzma teeki ja tööriistu .xz formaadis kokkusurutud andmete töötlemiseks. XZ Utils 5.8.1 on esimene märkimisväärne väljalase pärast tagasiside juhtumi, mis paljastas backdoor'i sshd kaudu sisenemise. Eelmisel nädalal loodi Git'is sildi 5.8.0, kuid väljalaset ei kuulutatud ametlikult, kuna pärast sildi avaldamist ilmnesid jõudlusprobleemid ja kokkusobimatus vanade GNU make versioonidega.

XZ Utils 5.8.1 värskenduses on kõrvaldatud haavatavus (CVE-2025-31115), mis põhjustab avariise, kui püütakse avada spetsiaalselt valmistatud arhiive. Haavatavus tuleneb juba vabastatud mälu alale (use after free) viitamisest. Ründaja võib saavutada oma väärtuse kirjutamise aadressile, mis arvutatakse kui 'nullpointer + offset'. Probleem käsitletakse juhusliku veana, kuna selle põhjustanud muudatus tehti koodis ammu enne arendaja Jia Tan'i projekti, mille tegevus viis backdoor'i lisamiseni.

Probleem ilmneb alates XZ Utils 5.3.3alpha väljalaskest, kui dekodeeritakse mitme lõimega režiimis (ühe lõime dekodeerijal probleem ei avaldu). Lisaks paketi xz standardsetele tööriistadele ilmneb haavatavus ka kolmandate osapoolte programmides, mis kasutavad liblzma teegi lzma_stream_decoder_mt funktsiooni. Haavatavus on kõrvaldatud XZ Utils 5.8.1 väljalaskes ning viidatud stabiilsetesse harudesse 5.4 ja 5.6. Värskenduste jälgimiseks distributsioonides võib külastada järgmisi lehti: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Kaitsemeetmena võib lülitada välja failide dekodeerimise mitme lõimega režiimis, kasutades xz käivitamisel valikuid '—decompress —threads=1' või rakendades utiliiti xzdec.

XZ Utils 5.8 haru funktsionaalsete muudatuste seas on märkimisväärsed:

• LZMA/LZMA2 dekodeerijasse on lisatud tugi SSE2 instruktsioonide kasutamiseks memcpy() funktsiooni asemel 32- ja 64-bitistes x86 süsteemides. Muudatus on võimaldanud vähendada dekodeerimise aega kuni 5% Glibc ehitamisel ja kuni 15% musl'i ehitamisel väga kõrge kompressioonitasemega failide lahtipakkimisel.
• liblzma-s on suurenenud kodeerimise kiirus 64-bitistes PowerPC ja RISC-V süsteemides.
• lzma/bcj.h on lisatud madala taseme BCJ filtrite API (Branch/Call/Jump) RISC-V, ARM64 ja x86 süsteemide jaoks.
• x86, x86-64 ja E2K süsteemide CLMUL CRC arvutamise kood on ümber kirjutatud.
• LoongArch protsessoritega platvormidel on kasutusele võetud juhised CRC32 kontrollsummade arvutuse kiirendamiseks.
• Tööriistas 'xz' on tagatud fsync() funktsiooni kutsumine, et kirjutada failide vahemälu tulevase faili jaoks enne algse faili kustutamist. Sünkroniseerimise keelamiseks enne kustutamist on rakendatud valik '--no-sync'.
• Tööriistades xz, xzdec ja lzmainfo on ekraanile teabe väljundil tagatud mitteprintitavate sümbolite asendamine küsimärgi märkiga.
• xz ja xzdec tööriistades Linuxi platvormil on protsessi isoleerimise toetamiseks rakendatud 5. ja 6. versiooni Landlock mehhanismi.
• Lisatud skript litsentside kontrollimiseks build-aux/license-check.sh.
• Töötlemisse on kuulutatud vananenuks skriptid lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep ja lzfgrep, mis on rakendatud xz tööriista peal.

Allikas: opennet.ru