{"id":116209,"date":"2024-05-30T15:40:12","date_gmt":"2024-05-30T13:40:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora"},"modified":"2024-05-30T15:40:12","modified_gmt":"2024-05-30T13:40:12","slug":"proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","title":{"rendered":"Le projet XZ a publi\u00e9 les r\u00e9sultats de l'audit des commits et une premi\u00e8re mise \u00e0 jour apr\u00e8s la d\u00e9couverte d'un backdoor.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lasse Collin, ancien mainteneur du projet xz, a c\u00e9d\u00e9 ses droits en 2022 \u00e0 son successeur Jia Tan, dont l'activit\u00e9 a entra\u00een\u00e9 l'introduction d'une porte d\u00e9rob\u00e9e. Il a publi\u00e9 des versions correctives des paquets XZ Utils 5.2.13, 5.4.7 et 5.6.2, dans lesquels les composants de la porte d\u00e9rob\u00e9e et d'autres modifications suspectes ont \u00e9t\u00e9 supprim\u00e9s, cons\u00e9quences des actions malveillantes de l'ancien mainteneur. <\/p>\n
De plus, un rapport sur l'examen du d\u00e9p\u00f4t Git et des modifications apport\u00e9es depuis d\u00e9cembre 2022, pendant la p\u00e9riode de Jia Tan en tant que mainteneur, a \u00e9t\u00e9 publi\u00e9. Les modifications ont \u00e9t\u00e9 d\u00e9taill\u00e9es au niveau de chaque commit. Les commits dans le d\u00e9p\u00f4t n'ont pas \u00e9t\u00e9 sign\u00e9s num\u00e9riquement, mais aucune trace de falsification de la part des contributeurs n'a \u00e9t\u00e9 trouv\u00e9e. Un total de 8 commits malveillants a \u00e9t\u00e9 supprim\u00e9 du d\u00e9p\u00f4t. <\/p>\n
Le code CRC CLMUL n'a pas encore \u00e9t\u00e9 retir\u00e9 de la base de code car il entra\u00eene de faux positifs lors de la v\u00e9rification avec MSAN (Memory sanitizer) et cause des probl\u00e8mes avec OSS Fuzz. Ce code doit \u00eatre retravaill\u00e9 ult\u00e9rieurement, mais il a \u00e9t\u00e9 d\u00e9cid\u00e9 de ne pas y toucher pour \u00e9viter des r\u00e9gressions dans les anciennes branches. Aucune modification suspecte dans les anciens commits, ajout\u00e9s avant les changements li\u00e9s \u00e0 la progression de la porte d\u00e9rob\u00e9e, n'a \u00e9t\u00e9 d\u00e9tect\u00e9e. Les fichiers po de localisation, les m\u00e9tadonn\u00e9es dans les fichiers tar et les archives de version ont \u00e9t\u00e9 v\u00e9rifi\u00e9s s\u00e9par\u00e9ment. <\/p>\n
Parmi les changements, on note l'inclusion des corrections de bugs accumul\u00e9es et la suppression du support du m\u00e9canisme IFUNC fourni par Glibc pour un appel indirect de fonctions, qui avait \u00e9t\u00e9 utilis\u00e9 pour intercepter des fonctions dans la porte d\u00e9rob\u00e9e. Il a \u00e9t\u00e9 observ\u00e9 que l'utilisation d'IFUNC complique simplement le code, sans gains de performance significatifs. Par mesure de pr\u00e9caution, le package avec les sources a \u00e9galement vu la suppression du logo XZ, des versions PDF des pages man, et de deux tests pour les architectures x86 et SPARC qui traitaient des fichiers objets comme donn\u00e9es d'entr\u00e9e. <\/p>\n
Parmi les nouveaut\u00e9s, le d\u00e9codeur xzdec prend d\u00e9sormais en charge la version 4 de l'ABI du m\u00e9canisme d'isolation des applications Landlock. Les scripts de construction Autotools ont \u00e9t\u00e9 dot\u00e9s de l'option \u00ab --enable-doxygen \u00bb, tandis que dans le script Cmake, le param\u00e8tre ENABLE_DOXYGEN a \u00e9t\u00e9 ajout\u00e9 pour g\u00e9n\u00e9rer et installer la documentation de l'API liblzma en utilisant Doxygen. La documentation d\u00e9j\u00e0 g\u00e9n\u00e9r\u00e9e a \u00e9t\u00e9 supprim\u00e9e du \u043f\u0430\u043a\u0435\u0442. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"