{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Mise \u00e0 jour de XZ Utils 5.8.1 avec correction de vuln\u00e9rabilit\u00e9","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La version 5.8.1 du paquet XZ Utils, incluant la biblioth\u00e8que liblzma et les utilitaires pour travailler avec des donn\u00e9es compress\u00e9es au format xz, a \u00e9t\u00e9 publi\u00e9e. XZ Utils 5.8.1 est la premi\u00e8re version significative apr\u00e8s l'incident de d\u00e9couverte d'un backdoor permettant l'acc\u00e8s via sshd. La semaine derni\u00e8re, un tag 5.8.0 a \u00e9t\u00e9 cr\u00e9\u00e9 sur Git, mais la release n'a pas \u00e9t\u00e9 officiellement annonc\u00e9e en raison de probl\u00e8mes de performance et de compatibilit\u00e9 avec les anciennes versions de GNU make, d\u00e9couverts apr\u00e8s la publication du tag. <\/p>\n
La mise \u00e0 jour XZ Utils 5.8.1 corrige une vuln\u00e9rabilit\u00e9 (CVE-2025-31115) entra\u00eenant un plantage lors de la tentative de d\u00e9compression d'archives soigneusement confectionn\u00e9es. Cette vuln\u00e9rabilit\u00e9 est caus\u00e9e par l'acc\u00e8s \u00e0 une m\u00e9moire d\u00e9j\u00e0 lib\u00e9r\u00e9e (use after free). Un attaquant peut r\u00e9ussir \u00e0 \u00e9crire sa valeur \u00e0 une adresse calcul\u00e9e comme null pointer + offset. Le probl\u00e8me est consid\u00e9r\u00e9 comme une erreur non intentionnelle, car la modification ayant caus\u00e9 le probl\u00e8me a \u00e9t\u00e9 apport\u00e9e au code bien avant l'arriv\u00e9e du d\u00e9veloppeur Jia Tan, dont les actions ont conduit \u00e0 l'impl\u00e9mentation du backdoor. <\/p>\n
Le probl\u00e8me appara\u00eet \u00e0 partir de la version 5.3.3alpha de XZ Utils lors du d\u00e9codage en mode multithreading (le d\u00e9codeur monothread\u00e9 n'est pas concern\u00e9). En plus des utilitaires standards du paquet xz, la vuln\u00e9rabilit\u00e9 se manifeste \u00e9galement dans des programmes tiers utilisant la fonction lzma_stream_decoder_mt de la biblioth\u00e8que liblzma. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans la version 5.8.1 de XZ Utils et a \u00e9galement \u00e9t\u00e9 report\u00e9e dans les branches stables 5.4 et 5.6. Les utilisateurs peuvent suivre l'apparition des mises \u00e0 jour dans les distributions sur les pages suivantes : Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Comme solution de contournement, il est possible de d\u00e9sactiver le d\u00e9codage de fichiers en mode multithreading en utilisant les options --decompress --threads=1 lors de l'ex\u00e9cution de xz ou en appliquant l'utilitaire xzdec. <\/p>\n
Parmi les changements fonctionnels dans la branche XZ Utils 5.8, on peut noter : <\/p>\n
\n
Dans le d\u00e9codeur LZMA\/LZMA2, il a \u00e9t\u00e9 ajout\u00e9 la possibilit\u00e9 d'utiliser des instructions SSE2 au lieu de la fonction memcpy() sur les syst\u00e8mes x86 32 et 64 bits. Ce changement permet de r\u00e9duire le temps de d\u00e9codage jusqu'\u00e0 5 % lors de la compilation avec Glibc et jusqu'\u00e0 15 % lors de la compilation avec musl pour d\u00e9compresser des fichiers avec un tr\u00e8s haut taux de compression.\n
Dans liblzma, la vitesse d'encodage a \u00e9t\u00e9 augment\u00e9e sur les syst\u00e8mes PowerPC et RISC-V 64 bits.\n
Dans lzma\/bcj.h, une API de bas niveau pour les filtres BCJ (Branch\/Call\/Jump) a \u00e9t\u00e9 ajout\u00e9e pour les syst\u00e8mes RISC-V, ARM64 et x86.\n
Le code de calcul du CRC CLMUL a \u00e9t\u00e9 r\u00e9\u00e9crit pour les syst\u00e8mes x86, x86-64 et E2K.\n
Sur les plates-formes \u00e9quip\u00e9es de processeurs LoongArch, des instructions sont utilis\u00e9es pour acc\u00e9l\u00e9rer le calcul des sommes de contr\u00f4le CRC32.\n
Dans l'utilitaire xz, l'appel de la fonction fsync() a \u00e9t\u00e9 mis en place pour vider les caches de fichiers pour le fichier r\u00e9sultant avant la suppression du fichier source. Pour d\u00e9sactiver la synchronisation avant la suppression, une option --no-sync a \u00e9t\u00e9 impl\u00e9ment\u00e9e.\n
Dans les utilitaires xz, xzdec et lzmainfo, lors de l'affichage des informations \u00e0 l'\u00e9cran, les caract\u00e8res non imprimables sont remplac\u00e9s par un point d'interrogation.\n
Dans xz et xzdec sur la plateforme Linux, un support des versions 5 et 6 du m\u00e9canisme Landlock a \u00e9t\u00e9 mis en \u0153uvre pour isoler le processus.\n
Un script pour v\u00e9rifier les licences a \u00e9t\u00e9 ajout\u00e9 : build-aux\/license-check.sh.\n
Les scripts lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep et lzfgrep, qui \u00e9taient des surcouches \u00e0 l'utilitaire xz, ont \u00e9t\u00e9 d\u00e9clar\u00e9s obsol\u00e8tes. <\/ul>\n