XZ projekt avaldas commit auditil põhineva aruande ja esimese värskenduse pärast tagaukse avastamist

Lasse Collin, endine projekti xz hoidja, kes edastas õigused uuele hoidjale Jia Tanile 2022. aastal, mille tegevus viis tagaplaneeringu rakendamiseni, avaldas parandustooted pakettidele XZ Utils 5.2.13, 5.4.7 ja 5.6.2, milles eemaldati tagaplaneeringu komponendid ja muud kahtlased muudatused, mis olid lisatud eelneva hoidja pahatahtliku tegevuse tõttu.

Samuti avaldati ülevaatearuande Git-i salvestusruumist ja muudatustest, mis lisati alates detsembrist 2022, kui Jia Tan oli hoidja ametis. Muudatused on analüüsitud eraldi commit'ite tasandil. Repositooriumi commit'id ei olnud digitaalselt allkirjastatud, kuid esialgseid võltsimise märke commit'ide autorite seas ei leitud. Ühtekokku eemaldati repositooriumist 8 pahatahtlikku commit'i.

CRC CLMUL kood, mis põhjustab valehäireid MSAN-is (mälu sanitaar), on jätkuvalt ära eemaldamata ja põhjustab probleeme OSS Fuzziga. Edasi on kood plaanis ümber töötada, kuid praegu on otsustatud seda mitte puutuda, et vältida regressioone vanades harudes. Vanades commit'ides, mis on lisatud enne tagaplaneeringu edendamisega seotud muudatuste tegemist, kahtlaseid muudatusi ei leitud. Eraldi kontrolliti lokaliseerimise po-faile, tar-failide metaandmeid ja väljaandete ning tõlgete arhiive.

Muudatustest märgitakse ka akumuleerunud vea paranduste lisamist ja IFUNC mehhanismi toe eemaldamist, mis on pakutud Glibc-sse funktsioonide kaudseks väljakutsumiseks, mida kasutati funktsioonide püüdmise korraldamiseks tagaplaneeringus. On märgitud, et IFUNC-i kasutamine keerukendab koodi, samal ajal kui saavutus jõudluses on ebaoluline. Kaitsena eemaldati ka allika koodiga paketist XZ logo, PDF versioonid man-lehtedest ja kaks testi arhitektuuridele x86 ja SPARC, kus sisendandmetena töödeldi objekti faile.

Uue funktsioonina on dekooder xzdec saanud toe Landlocki rakenduste isolatsiooni mehhanismi neljanda versiooni ABI jaoks. Autotools'i koostamisskriptidele on lisatud valik "—enable-doxygen", ning Cmake'i skripti parameeter ENABLE_DOXYGEN API liblzma dokumentatsiooni genereerimiseks ja installeerimiseks Doxygeni abil. Juba genereeritud dokumentatsioon eemaldati paketist.

Allikas: opennet.ru