Il est pr\u00e9sum\u00e9 qu'une porte d\u00e9rob\u00e9e a \u00e9t\u00e9 int\u00e9gr\u00e9e au paquet xz par le d\u00e9veloppeur Jia Tan, qui a obtenu le statut de mainteneur en 2022 et a commenc\u00e9 \u00e0 publier des versions d\u00e8s la version 5.4.2. En plus du projet xz, l'auteur pr\u00e9sum\u00e9 de la porte d\u00e9rob\u00e9e a \u00e9galement particip\u00e9 au d\u00e9veloppement des paquets xz-java et xz-embedded, et a \u00e9t\u00e9 inclus parmi les mainteneurs du projet XZ Embedded, utilis\u00e9 dans le noyau Linux. <\/p>\n
Dans l'organisation de la promotion du backdoor, deux autres participants ont \u00e9galement \u00e9t\u00e9 remarqu\u00e9s : Jigar Kumar et Hans Jansen, qui semblent \u00eatre des personnages virtuels. Jigar Kumar a contribu\u00e9 en avril 2022 \u00e0 l'adoption dans xz des premiers correctifs de Jia Tan, qui mettaient en \u0153uvre le support des filtres de cha\u00eenes, et a exerc\u00e9 une pression morale sur Lasse Collin, l'ancien mainteneur, en critiquant son incapacit\u00e9 \u00e0 exercer ses fonctions et \u00e0 accepter des correctifs utiles. En juin, Lasse Collin a reconnu que le projet avait besoin d'un nouveau mainteneur, exprimant ses pr\u00e9occupations concernant le burn-out et des probl\u00e8mes de sant\u00e9 mentale, et a transf\u00e9r\u00e9 les droits de mainteneur \u00e0 Jia Tan. Apr\u00e8s cela, l'utilisateur Jigar Kumar ne s'est plus manifest\u00e9 dans la mailing list. <\/p>\n
Apr\u00e8s avoir obtenu les droits de mainteneur, Jia Tan a commenc\u00e9 \u00e0 ajouter activement des modifications au projet et, selon les statistiques des deux derni\u00e8res ann\u00e9es, il a occup\u00e9 la deuxi\u00e8me place parmi les d\u00e9veloppeurs en nombre de changements. En mars 2023, le responsable des tests du paquet xz pour le service oss-fuzz a \u00e9t\u00e9 remplac\u00e9 de Lasse Collin \u00e0 Jia Tan, et en juin, des modifications ajoutant au liblzma la prise en charge du m\u00e9canisme IFUNC (le constructeur crc64_fast a \u00e9t\u00e9 remplac\u00e9 par ifunc) ont \u00e9t\u00e9 accept\u00e9es dans xz, ce qui a ensuite \u00e9t\u00e9 utilis\u00e9 pour intercepter des fonctions dans la porte d\u00e9rob\u00e9e. La modification a \u00e9t\u00e9 propos\u00e9e par Hans Jansen et accept\u00e9e par Jia Tan dans xz. Le compte de Hans Jansen a \u00e9t\u00e9 cr\u00e9\u00e9 juste avant l'envoi de la demande de tirage. <\/p>\n
En juillet 2023, Jia Tan a envoy\u00e9 aux d\u00e9veloppeurs d'oss-fuzz une demande de d\u00e9sactivation de la v\u00e9rification ifunc en raison de son incompatibilit\u00e9 avec l'option \u00ab -fsanitize=address \u00bb. Au d\u00e9but de f\u00e9vrier 2024, le lien vers le site du projet dans oss-fuzz et sur la page d'accueil de tukaani.org a \u00e9t\u00e9 modifi\u00e9 de \u00ab tukaani.org\/xz\/ \u00bb \u00e0 \u00ab xz.tukaani.org \u00bb, o\u00f9 le sous-domaine \u00ab xz.tukaani.org \u00bb \u00e9tait h\u00e9berg\u00e9 sur le service GitHub Pages et contr\u00f4l\u00e9 personnellement par Jia Tan. Le 23 f\u00e9vrier, des archives pour tester le fonctionnement du d\u00e9codeur ont \u00e9t\u00e9 mises en ligne dans le d\u00e9p\u00f4t xz, parmi lesquelles se trouvaient les fichiers bad-3-corrupt_lzma2.xz et good-large_compressed.lzma contenant un backdoor dissimul\u00e9. Les macros M4 pour activer le backdoor \u00e9taient incluses uniquement dans l'archive tar de la version 5.6.0 et ont \u00e9t\u00e9 exclues du d\u00e9p\u00f4t Git, mais \u00e9taient pr\u00e9sentes dans le fichier .gitignore. <\/p>\n
Le 17 mars, Hans Jansen, qui avait pr\u00e9c\u00e9demment d\u00e9velopp\u00e9 des patches avec prise en charge d'IFUNC, a \u00e9t\u00e9 enregistr\u00e9 en tant que participant au projet Debian, et le 25 mars, il a envoy\u00e9 une demande de mise \u00e0 jour de la version du paquet xz-utils dans le d\u00e9p\u00f4t Debian. Des demandes de mise \u00e0 jour de version ont \u00e9galement \u00e9t\u00e9 envoy\u00e9es aux d\u00e9veloppeurs de Fedora et d'Ubuntu (dans le d\u00e9p\u00f4t Ubuntu, la version \u00e9tait en phase de gel et le changement a \u00e9t\u00e9 rejet\u00e9). <\/p>\n
Certaines demandes de mise \u00e0 jour de la version xz ont \u00e9galement \u00e9t\u00e9 soutenues par des utilisateurs, affirmant que la nouvelle version corrigeait des plantages g\u00eanants identifi\u00e9s lors du d\u00e9bogage avec valgrind (les probl\u00e8mes provenaient d'une mauvaise d\u00e9finition de la disposition de la pile dans le gestionnaire de la porte d\u00e9rob\u00e9e et les d\u00e9veloppeurs de la porte d\u00e9rob\u00e9e ont essay\u00e9 de r\u00e9soudre ces probl\u00e8mes dans la version xz 5.6.1). Le plantage a \u00e9galement suscit\u00e9 l'int\u00e9r\u00eat d'Andres Freund, un employ\u00e9 de Microsoft participant au d\u00e9veloppement de PostgreSQL, qui a d\u00e9couvert la pr\u00e9sence de la porte d\u00e9rob\u00e9e et a alert\u00e9 la communaut\u00e9. \u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u044d\u043a\u0434\u043e\u0440 \u0432 \u043f\u0430\u043a\u0435\u0442 xz \u0431\u044b\u043b \u0432\u043d\u0435\u0434\u0440\u0451\u043d \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c Jia Tan, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 2022 \u0433\u043e\u0434\u0443 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u0442\u0430\u0442\u0443\u0441 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u043b \u0440\u0435\u043b\u0438\u0437\u044b \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0432\u0435\u0440\u0441\u0438\u0438 5.4.2. \u041f\u043e\u043c\u0438\u043c\u043e \u043f\u0440\u043e\u0435\u043a\u0442\u0430 xz \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c\u044b\u0439 \u0430\u0432\u0442\u043e\u0440 \u0431\u044d\u043a\u0434\u043e\u0440\u0430 \u0442\u0430\u043a\u0436\u0435 \u0443\u0447\u0430\u0441\u0442\u0432\u043e\u0432\u0430\u043b \u0432 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 xz-java \u0438 xz-embedded, \u0438 \u0431\u044b\u043b \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u0432 \u0447\u0438\u0441\u043b\u043e \u043c\u044d\u0439\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 XZ Embedded, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0433\u043e \u0432 \u044f\u0434\u0440\u0435 Linux. \u0412 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0434\u0432\u0438\u0436\u0435\u043d\u0438\u044f \u0431\u044d\u043a\u0434\u043e\u0440\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-114665","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 R\u00e9trospective de l'int\u00e9gration de la porte d\u00e9rob\u00e9e dans le paquet xz | ProHoster","description":"On pense que la porte d\u00e9rob\u00e9e dans le paquet xz a \u00e9t\u00e9 implant\u00e9e par le d\u00e9veloppeur Jia Tan, qui a obtenu le statut de mainteneur en 2022 et a publi\u00e9 des versions \u00e0 partir de la version 5.4.2.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/retrospektiva-prodvizheniya-bekdora-v-paket-xz","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0435\u0442\u0440\u043e\u0441\u043f\u0435\u043a\u0442\u0438\u0432\u0430 \u043f\u0440\u043e\u0434\u0432\u0438\u0436\u0435\u043d\u0438\u044f \u0431\u044d\u043a\u0434\u043e\u0440\u0430 \u0432 \u043f\u0430\u043a\u0435\u0442 xz | ProHoster","og:description":"\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u044d\u043a\u0434\u043e\u0440 \u0432 \u043f\u0430\u043a\u0435\u0442 xz \u0431\u044b\u043b \u0432\u043d\u0435\u0434\u0440\u0451\u043d \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c Jia Tan, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 2022 \u0433\u043e\u0434\u0443 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u0442\u0430\u0442\u0443\u0441 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u043b \u0440\u0435\u043b\u0438\u0437\u044b \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0432\u0435\u0440\u0441\u0438\u0438 5.4.2.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/retrospektiva-prodvizheniya-bekdora-v-paket-xz","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-03-30T10:25:45+00:00","article:modified_time":"2024-03-30T10:25:45+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/114665","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=114665"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/114665\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=114665"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=114665"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=114665"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"