U xz/liblzma otkriven je zlonamjerni kod namijenjen stjecanju neovlaštenog daljinskog pristupa putem SSH (backdoor) i izvršavanju naredbi (CVE-2024-3094). Zlonamjerni kod je ugrađen u verzije 5.6.0 i 5.6.1 i, prema saopćenju OpenNeta, uspio je doći do izdanja i repozitorija Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker i rolling, pkgsrc current, Slackware current, Manjaro, Void Linux. Međutim, daleko od toga da se backdoor može aktivirati svugdje. Situaciju dodatno pogoršava činjenica da je osumnjičeni programer posljednjih godina sudjelovao i u sličnim projektima zajednice. Stoga nema razloga za povjerenje u izvorni kod xz dok se ne razjasne svi detalji i posljedice onoga što se dogodilo. Konkretno, odgovarajući repozitorij na GitHubu već je blokiran s porukom: "Pristup ovom repozitoriju blokirali su zaposlenici GitHuba zbog kršenja uvjeta pružanja usluga GitHub-a."
Izvor: 3dnews.ru
