Tagasivaade tagavarapoolse sisselogimise levikule pakendis xz

Eeldatavasti on xz paketti tagauksed sisse viinud arendaja Jia Tan, kes sai 2022. aastal hooldaja staatuse ja väljastas versioonidest alates 5.4.2. Lisaks projekti xz on väidetav tagaukse autor osalenud ka xz-java ja xz-embedded pakettide arendamises ning kuulunud XZ Embedded projekti hooldajate hulka, mida kasutatakse Linuxi tuumas.

Tagauksest edendamise organisatsioonis on märgatud veel kahte osalist — Jigar Kumar ja Hans Jansen, kes tunduvad olevat virtuaalsed isikud. Jigar Kumar toetas aprillis 2022 jaotuses xz Jia Tani varaste patšide vastuvõtmist, mis hõlmas stringifiltri toe rakendamist, ning avaldas moraalset survet tollasele hooldajale Lasse Collinile, kritiseerides, et ta ei suuda oma kohustusi täita ja ei aktsepteeri kasulikke patše. Juunis nõustus Lasse Collin, et projekt vajab uut hooldajat, kaebas väsimuse ja vaimse tervise probleemide üle ning edastas hooldajate õigused Jia Tanile. Pärast seda ei ilmunud kasutaja Jigar Kumar enam lühikeste teadete nimekirja.

Saades hooldaja õigused, hakkas Jia Tan aktiivselt projekti muudatusi lisama ning statistika kohaselt saavutas ta kahe aasta jooksul arendajate hulgas muudatuste arvu järgi teise koha. Märtsis 2023 asendati xz paketi testimise eest vastutav isik teenuses oss-fuzz Lasse Colliniga Jia Taniga ning juunis võeti xz-sse vastu muudatused, mis lisavad liblzma IFUNC mehhanismi toe (crc64_fast konstruktor asendati ifunciga), mida hiljem kasutati tagaukse funktsioonide ülevõtmiseks. Muudatuse pakkus välja Hans Jansen ja Jia Tan võttis selle vastu xz-sse. Hans Janseni konto loodi otse enne pull-pära saatmist.

2023. aasta juulis saatis Jia Tan oss-fuzz arendajatele palve IFUNC kontrolli väljalülitamise kohta, kuna see oli ühilduv „-fsanitize=address” režiimiga. 2024. aasta veebruari alguses muudeti projekti veebilehe link oss-fuzz'is ja tukaani.org peamisele lehele aadressilt „tukaani.org/xz/” aadressile „xz.tukaani.org”, kus subdomeen „xz.tukaani.org” asus GitHub Pages teenuses ning seda kontrollis isiklikult Jia Tan. 23. veebruaril avaldati xz hoidlas arhiivid dekooderi töö testimiseks, sealhulgas failid bad-3-corrupt_lzma2.xz ja good-large_compressed.lzma, mis sisaldasid varjatud tagaukse. Tagauksa aktiveerimiseks mõeldud M4 makrosid lisati ainult versiooni 5.6.0 tar-arhiivi ja need jäeti Git hoidlast välja, kuid need ilmusid failis .gitignore.

17. märtsil registreeriti Hans Jansen, kes oli varem välja töötanud IFUNC-i toetavad parandused, Debian projekti osalisena, ja 25. märtsil saatis ta palve xz-utils paketi versiooni värskendamiseks Debian hoidlas. Versiooni värskendamise palveid saadeti ka Fedora ja Ubuntu arendajatele (Ubuntu hoidla oli jääges, mistõttu muudatus lükati tagasi).

Palvetele värskendada xz versiooni lisandusid mõned kasutajad, kes väitsid, et uues versioonis on kõrvaldatud tööd segavad tõrked, mis ilmnesid valgrindis silumise käigus (probleemid tekkisid tagaukse töötleja virnastamise vale määratlemise tõttu ja need probleemid püüdsid tagaukse arendajad lahendada versioonis xz 5.6.1). Tõrkest sai huvitavaks ka Andres Freund, Microsofti töötaja, kes osaleb PostgreSQL-i arenduses, kes avastas tagaukseni ja teavitas sellest kogukonda.

Allikas: opennet.ru