Valószínűleg a xz csomagba egy hátlapot épített be Jia Tan fejlesztő, aki 2022-ben támogatói státuszt kapott, és a 5.4.2-es verziótól kezdve adta ki a kiadásokat. Az xz projekten kívül a hátlap feltételezett szerzője részt vett az xz-java és xz-embedded csomagok fejlesztésében, és a Linux kernelben használt XZ Embedded projekt karbantartói közé is be lett sorolva.
A hátlap népszerűsítésének szervezésében két másik résztvevő is észlelhető — Jigar Kumar és Hans Jansen, akik láthatóan virtuális karakterek. Jigar Kumar 2022 áprilisában támogatta Jia Tan korai xz patchjeinek elfogadását a sztring szűrők támogatásának megvalósításával, és morális nyomást gyakorolt Lasse Collinra, aki akkoriban volt a karbantartó, kritikát fogalmazva meg, hogy nem képes ellátni feladatait és nem fogad el hasznos patchokat. Júniusban Lasse Collin beleegyezett, hogy a projektnek új karbantartóra van szüksége, sajnálkozva a kiégés és a mentális egészségi problémák miatt, és átadta a karbantartói jogokat Jia Tannak. Ezt követően Jigar Kumar felhasználó nem jelent meg többet a levelezésben.
A karbantartói jogok megszerzésével Jia Tan aktívan elkezdte módosítások hozzáadását a projekthez, és statisztikák alapján két év alatt a második helyet foglalta el a fejlesztők között a módosítások számában. 2023 márciusában az xz csomag teszteléséért felelős személyt Lasse Collintól Jia Tanra cserélték, júniusban pedig az xz-be elfogadták a liblzma IFUNC mechanizmusának támogatását hozzáadó módosításokat (a crc64_fast konstruktor ifunc-ra lett cserélve), amelyet később a hátlapban használtak a funkciók elfogására. A módosítást Hans Jansen javasolta, Jia Tan fogadta el az xz részeként. Hans Jansen fiókja közvetlenül a pull-kérés elküldése előtt lett létrehozva.
2023 júliusában Jia Tan kérte az oss-fuzz fejlesztőit, hogy tiltsák le az ifunc ellenőrzést, mivel az nem volt kompatibilis a "-fsanitize=address" móddal. 2024 február elején a projekt webhelyének linkje az oss-fuzzban és a tukaani.org főoldalán a „tukaani.org/xz/” címről „xz.tukaani.org”-ra változott, ahol az „xz.tukaani.org” aldomain a GitHub Pages szolgáltatás keretein belül helyezkedett el, és személyesen Jia Tan irányítása alatt állt. Február 23-án az xz tárolóban tesztelési célokra archívumokat helyeztek el, köztük a bad-3-corrupt_lzma2.xz és good-large_compressed.lzma fájlokat, amelyek rejtett hátsóajtót tartalmaztak. A hátsóajtó aktiválásához szükséges M4 makrók csak a 5.6.0 verziójú kiadás tar-archívumába kerültek be, és a Git-tárhelyből ki lettek zárva, de felfedték őket a .gitignore fájlban.
Március 17-én Hans Jansen, aki korábban javaslatokat tett az IFUNC támogatására, a Debian projekt részesévé vált, és március 25-én kérte a xz-utils csomag verziójának frissítését a Debian tárolóban. Verziófrissítési kérelmeket a Fedora és az Ubuntu fejlesztőihez is beküldtek (az Ubuntu tárolója fagyasztási fázisban volt, így a módosítást elutasították).
A verziófrissítési kérésekhez néhány felhasználó is csatlakozott, akik azt állították, hogy az új verzióban megszüntették a valgrind alatt jelentkező zavarokat, melyeket a hátsóajtó kezelőjének hibás veremelrendezése okozott, és ezeket a problémákat a hátsóajtó fejlesztői az xz 5.6.1 verzióban igyekeztek orvosolni. A hibákat Andrés Freund, a Microsoft munkatársa, aki a PostgreSQL fejlesztésében részt vesz, is érdeklődve figyelte, mivel felfedezte a hátsóajtó jelenlétét, és értesítette a közösséget.
Forrás: opennet.ru
