Megjelent az XZ Utils 5.8.1 csomag, amely tartalmazza a liblzma könyvtárat és az .xz formátumú tömörített fájlokkal való munka eszközeit. Az XZ Utils 5.8.1 az első jelentős verzió a SSHD-n keresztüli hátsó ajtó felfedezése utáni időszakban. Múlt héten a Git-ben létrehozták az 5.8.0 címkét, de a kiadás nem lett hivatalosan bejelentve a címke közzététele után fellépő teljesítmény- és kompatibilitási problémák miatt a régi GNU make verziókkal.
Az XZ Utils 5.8.1 frissítésben kijavították a (CVE-2025-31115) sebezhetőséget, amely összeomláshoz vezetett speciálisan kialakított archívumok kicsomagolásakor. A sebezhetőséget az okozta, hogy már felszabadított memória területet hívott meg (használat árnyék után). A támadó elérheti, hogy egy saját értékét egy címre írja, amelyet „nulla pointer + eltolás” formában számolnak ki. A probléma véletlen hibának tekintett, mivel a kódba bevezetett változást jóval Jia Tan fejlesztő projektbe érkezése előtt hajtották végre, amely tevékenysége hátsó ajtó bevezetéséhez vezetett.
A probléma az XZ Utils 5.3.3alpha verziótól kezdve jelentkezik a többszálas dekódolás során (az egyszálas dekódolókat nem érinti a probléma). Az xz csomagban található szokásos eszközök mellett a sebezhetőség harmadik féltől származó programokban is megjelenik, amelyek az lzma_stream_decoder_mt funkciót használják a liblzma könyvtárból. A sebezhetőséget az XZ Utils 5.8.1 verzióban megszüntették, és a stabil 5.4 és 5.6 ágakba is átemelték. Az elérhető frissítések nyomon követéséhez a következő oldalakat lehet figyelni: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Mint védelmi alternatíva, a fájlok többszálas dekódolásának letiltása javasolt, az xz indításakor a "—decompress —threads=1" opciók használatával, vagy az xzdec eszköz alkalmazásával.
Az XZ Utils 5.8-as ágon megfigyelhető funkcionális változások:
- Az LZMA/LZMA2 dekóderbe integrálták az SSE2 utasítások használatának lehetőségét a memcpy() funkció helyett x86 32- és 64-bites rendszereken. Ez a változás a dekódolási idő csökkentését lehetővé tette 5%-kal Glibc-vel való fordításkor és akár 15%-kal musl-lel való fordításkor, nagyon magas tömörítési arányú fájlok kicsomagolásakor.
- A liblzma könyvtárban megnövelték a kódolási sebességet PowerPC és RISC-V 64-bites rendszereken.
- Az lzma/bcj.h fájlhoz alacsony szintű BCJ szűrő API-t (Branch/Call/Jump) adtak hozzá RISC-V, ARM64 és x86 rendszerekhez.
- A CLMUL CRC számításának kódját újraírták x86, x86-64 és E2K rendszerekhez.
- LoongArch processzorokkal rendelkező platformokon a CRC32 checksumok számításának felgyorsítására szolgáló utasításokat használnak.
- Az 'xz' segédprogramban biztosított a fsync() függvény hívása a kimeneti fájl fájlcache-einek törlésére a forrásfájl törlése előtt. A szinkronizálás letiltására az '—no-sync' opció került megvalósításra a törlés előtt.
- Az 'xz', 'xzdec' és 'lzmainfo' segédprogramoknál a képernyőre kimenet közben a nem nyomtatható karakterek kérdőjellel való helyettesítése történt.
- Az 'xz' és 'xzdec' Linux platformon a folyamat izolálásának érdekében a 5-ös és 6-os verziójú Landlock mechanizmus támogatása került megvalósításra.
- Licencellenőrzésre szolgáló script került hozzáadásra: build-aux/license-check.sh.
- Elavultnak minősítették az 'lzcmp', 'lzdiff', 'lzless', 'lzmore', 'lzgrep', 'lzegrep' és 'lzfgrep' scriptjeit, amelyek az 'xz' segédprogramra épülnek.
Forrás: opennet.ru
