Lasse Collin, stari voditelj projekta xz, koji je 2022. godine predao prava novom voditelju Jia Tanu, čija je aktivnost dovela do implementacije backdoora, objavio je ispravne verzije paketa XZ Utils 5.2.13, 5.4.7 i 5.6.2, u kojima su uklonjeni sastojci backdoora i druge sumnjive promjene dodane kao rezultat zlonamjerne aktivnosti prethodnog voditelja.
Osim toga, objavljen je izvještaj o recenziji Git repozitorija i promjena koje su dodane od prosinca 2022. godine dok je Jia Tan bio voditelj. Promjene su razrađene na razini pojedinačnih commitova. Commita u repozitoriju nisu bila potpisana digitalnim potpisom, ali nisu pronađeni tragovi falsifikacije od strane commitera. Ukupno je iz repozitorija uklonjeno 8 zlonamjernih commitova.
Kod CRC CLMUL još uvijek nije uklonjen iz koda, što dovodi do lažnih aktivacija pri provjeri u MSAN (Memory sanitizer) i problema s OSS Fuzz. U budućnosti planiraju preraditi ovaj kod, ali za sad je odlučeno da se ne dira kako bi se izbjegla regresija u starijim granama. Nisu pronađene sumnjive promjene u starijim commitovima dodanim prije promjena povezanih s implementacijom backdoora. Pojedinačno su provjereni po-datotečni fajlovi lokalizacije, metapodaci u tar datotekama i arhive s izdanjima i prijevodima.
Od promjena također se ističe uključivanje nagomilanih ispravki grešaka i uklanjanje potpore mehanizmu IFUNC, koji je dostavljen u Glibc za neizravno pozivanje funkcija, a koji je bio korišten za organizaciju presretanja funkcija u backdooru. Istaknuto je da uporaba IFUNC samo komplicira kod, a dobitak u performansama nije značajan. Kao mjera opreza, iz paketa sa izvorom također su uklonjeni logotip XZ, PDF verzije man stranica i dva testa za arhitekture x86 i SPARC, u kojima su obrađivani objektni fajlovi kao ulazni podaci.
Kao novost u dekoderu xzdec dodana je podrška za verziju 4 ABI mehanizma izolacije aplikacija Landlock. U skripte za izgradnju Autotools dodana je opcija "—enable-doxygen", a u Cmake skriptu parametar ENABLE_DOXYGEN za generiranje i instalaciju dokumentacije o API-ju liblzma, koristeći Doxygen. Već generirana dokumentacija uklonjena je iz paketa.
Izvor: opennet.ru
