Lasse Collin, endine xz projekti hooldaja, kes andis 2022. aastal õigused üle uuele hooldajale Jia Tanile, kelle tegevus viis tagaukse rakendamiseni, avaldas parandavad väljaanded paketist XZ Utils 5.2.13, 5.4.7 ja 5.6.2, kust on eemaldatud tagaukse komponendid ja muud kahtlased muudatused, mis olid lisatud eelmise hooldaja kuritegeliku tegevuse tulemusena.
Lisaks on avaldatud aruanne Git-repositooriumi ja muudatuste üle, mis lisati alates 2022. aasta detsembrist Jia Tani hooldajaks olemise ajal. Muudatused on analüüsitud üksikute commit'ide tasandil. Repositooriumi commit'id ei olnud digitaalsete allkirjadega kinnitatud, kuid pettuse jälgi commit'ide autorite seas ei leitud. Kokku on repositooriumist eemaldatud 8 pahatahtlikku commit'i.
Koodibaasist ei ole veel eemaldatud CRC CLMUL kood, mis põhjustab valehäireid MSAN-is (Memory Sanitizer) ja probleeme OSS Fuzziga. Edasi plaanitakse see kood ümber töötada, kuid hetkel on otsustatud sellega mitte tegeleda, et vältida regressioone vanades harudes. Kahtlasi muudatusi vanades kommitites, mis on tehtud enne tagaukse edendamisega seotud muudatuste tegemist, ei leitud. Eraldi kontrolliti lokaliseerimise po-faile, metainformatsiooni tarfailides ja väljaandeid ning tõlkeid.
Muudatuste seas on märgitud ka akumuleerunud vea paranduste kaasamine ning IFUNC mehhanismi toetuse eemaldamine, mida Glibc pakub funktsioonide kaudseks kutsumiseks, mis oli seotud funktsioonide üleminekute korraldamisega tagaukses. Märgitud on, et IFUNCi kasutamine ainult keerukendab koodi, samas kui sellest saadav jõudluse kasu pole oluline. Ohutuse tagamiseks on ka allikakoodiga paketist eemaldatud XZ logo, PDF versioonid man-lehtedest ja kaks testimist x86 ja SPARC arhitektuuride jaoks, kus sisendandmeteks olid objektifailid.
XZdec dekooderisse on lisatud tugi 4. versiooni ABI rakenduste isoleerimise mehhanismile Landlock. Autotools'i ehitusskriptidesse on lisatud valik „--enable-doxygen“ ning CMake skriptis parameeter ENABLE_DOXYGEN API liblzma dokumentatsiooni genereerimiseks ja installimiseks, kasutades Doxygenit. Juba genereeritud dokumentatsioon on paketist eemaldatud.
Allikas: opennet.ru
