{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"A\u017euriranje XZ Utils 5.8.1 sa re\u0161enjem za ranjivost","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Objavljen je paket XZ Utils 5.8.1, koji uklju\u010duje biblioteku liblzma i alate za rad sa podacima komprimiranim u formatu . XZ Utils 5.8.1 je prvi zna\u010dajan izdanje nakon incidenta s otkrivanjem backdoora koji omogu\u0107ava pristup preko sshd-a. Pro\u0161log tjedna je u Gitu stvoren tag 5.8.0, ali objava nije zvani\u010dno najavljena zbog otkrivenih problema s performansama i kompatibilno\u0161\u0107u sa starijim verzijama GNU make-a nakon objave taga. <\/p>\n
U a\u017euriranju XZ Utils 5.8.1 ispravljena je ranjivost (CVE-2025-31115) koja dovodi do iznenadnog prekida rada prilikom poku\u0161aja dekompresije posebno oblikovanih arhiva. Ranjivost je uzrokovana pristupom ve\u0107 oslobo\u0111enoj memorijskoj lokaciji (use after free). Napada\u010d mo\u017ee posti\u0107i da se njegova vrijednost upisuje na adresu izra\u010dunatu kao . Problem se smatra nenamjernom pogre\u0161kom, budu\u0107i da je promjena koja je uzrokovala to uvedena u kod dugo prije dolaska programera Jia Tana, \u010dija je aktivnost dovela do uvo\u0111enja backdoora. <\/p>\n
Problem se javlja od izdanja XZ Utils 5.3.3alpha pri dekodiranju u vi\u0161ekratnom re\u017eimu (jednoniti\u010dni dekoder nije pogo\u0111en problemom). Pored standardnih alata iz paketa xz, ranjivost se javlja i u vanjskim programima koji koriste funkciju lzma_stream_decoder_mt iz biblioteke liblzma. Ranjivost je ispravljena u izdanju XZ Utils 5.8.1, a tako\u0111er je prenesena u stabilne grane 5.4 i 5.6. Mo\u017eete pratiti pojavu a\u017euriranja u distribucijama na sljede\u0107im stranicama: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Kao zaobilazno rje\u0161enje za za\u0161titu mo\u017eete onemogu\u0107iti dekodiranje datoteka u vi\u0161ekratnom re\u017eimu koriste\u0107i opcije prilikom pokretanja xz ili koriste\u0107i alat xzdec. <\/p>\n
Od funkcionalnih promjena u grani XZ Utils 5.8 mo\u017ee se istaknuti: <\/p>\n
\n
U LZMA\/LZMA2 dekoder je dodana mogu\u0107nost kori\u0161tenja SSE2 instrukcija umjesto funkcije memcpy() na 32- i 64-bitnim x86 sustavima. Ova promjena je omogu\u0107ila smanjenje vremena dekodiranja do 5% pri kompilaciji s Glibc i do 15% pri kompilaciji s musl tijekom raspakiravanja datoteka s vrlo visokim stupnjem kompresije.\n
U liblzma je pove\u0107ana brzina kodiranja na 64-bitnim PowerPC i RISC-V sustavima.\n
U lzma\/bcj.h dodan je niskonivoiski API BCJ filtara (Branch\/Call\/Jump) za RISC-V, ARM64 i x86 sustave.\n
Prepisan kod za izra\u010dun CLMUL CRC za x86, x86-64 i E2K sustave.\n
Na platformama s procesorima LoongArch kori\u0161tene su instrukcije za ubrzanje izra\u010duna CRC32 kontrolnih zbrojeva.\n
U alatu osiguran je poziv funkcije fsync() za ispu\u0161tanje predmemorija datoteka za kona\u010dnu datoteku prije brisanja izvorne datoteke. Za onemogu\u0107avanje sinkronizacije prije brisanja implementirana je opcija .\n
U alatima xz, xzdec i lzmainfo prilikom ispisivanja informacija na ekran osigurana je zamjena neprintanih znakova s upitnikom.\n
U xz i xzdec na Linux platformi podr\u017eana je izolacija procesa uz 5. i 6. verziju Landlock mehanizma.\n
Dodana je skripta za provjeru licenci build-aux\/license-check.sh.\n
Ozna\u010deni su zastarjelim skripti lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep i lzfgrep, implementirani kao nadogradnje na alat xz. <\/ul>\n