Az xz/liblzma-ban kártékony kódot fedeztek fel, amely a jogosulatlan távoli SSH hozzáférés (hátsóajtó) megszerzésére és parancsok végrehajtására irányul (CVE-2024-3094). A kártékony kód az 5.6.0 és 5.6.1-es verziókban került bevezetésre, és, ahogyan azt az OpenNet közli, már eljutott a Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker és rolling, pkgsrc current, Slackware current, Manjaro, Void Linux gyűjteményeibe és tárolóiba. Azonban nem mindenhol aktiválható a hátsóajtó. A helyzetet súlyosbítja, hogy a gyanúba keveredett fejlesztő az utóbbi években más közösségi projektekben is részt vett. Ezért nincs ok a kód eredeti változatának megbízására, amíg a részletek és következmények nem tisztázódnak. Különösen a megfelelő GitHub tároló már blokkolva van az üzenettel: „A GitHub munkatársai miatt a tárolóhoz való hozzáférés meg lett blokkolva a GitHub szolgáltatási feltételeinek megsértése miatt.”
Forrás: 3dnews.ru
