Lasse Collin, az XZ projekt régi karbantartója, aki 2022-ben adta át a jogokat az új karbantartónak, Jia Tan-nak, akinek tevékenysége hátsó bejárat bevezetéséhez vezetett, közzétette az XZ Utils 5.2.13, 5.4.7 és 5.6.2 csomagok javító kiadásait, amelyekből eltávolították a hátsó bejárat komponenst és egyéb gyanús módosításokat, amelyeket az előző karbantartó rosszindulatú tevékenysége eredményeként adtak hozzá.
Ezen kívül közzétették a Git-repo és a Jia Tan karbantartóvá válása óta, 2022 decemberétől hozzáadott változások felülvizsgálati jelentését. A változásokat egyes commit szintjén elemezték. A repó commitjai nem voltak digitálisan aláírva, de nem találtak bizonyítékokat a commiterek hamisítására. Összesen 8 rosszindulatú commitot távolítottak el a repóból.
A kódalapból még nem távolították el a CRC CLMUL kódot, amely hamis riasztásokhoz vezet az MSAN (Memory sanitizer) ellenőrzés során és problémákat okoz az OSS Fuzz-nál. A későbbiekben ezt a kódot át szeretnék dolgozni, de egyelőre döntöttek úgy, hogy nem nyúlnak hozzá, hogy elkerüljék a visszaeséseket a régi ágakban. A hátsó bejáratra vonatkozóan végrehajtott változások előtt hozzáadott régi commitokban nem találtak gyanús módosításokat. A lokalizációs po-fájlokat, a tar fájlok metaadatait és a kiadási archívumokat külön ellenőrizték.
A változások között említést nyernek a felhalmozódott hibajavítások bekapcsolása és az IFUNC mechanizmus támogatásának eltávolítása, amely a Glibc-ben található az indirekt függvényhívások végrehajtására, és amelyet a hátsó bejárat funkcióinak elfogására használtak. Megjegyezték, hogy az IFUNC használata csak bonyolítja a kódot, és a teljesítményjavulás jelentéktelen. Biztonsági elővigyázatosságból a csomagból is eltávolították az XZ logót, a man-oldalak PDF-változatait és két tesztet az x86 és SPARC architektúrák számára, amelyek objektumfájlokat dolgoztak fel bemeneti adatokként.
Az xzdec dekódolóhoz hozzáadták a 4. verziójú ABI Landlock alkalmazásizoláló mechanizmus támogatását. Az Autotools build script-ekhez hozzáadták a „--enable-doxygen” opciót, míg a Cmake script-ben az ENABLE_DOXYGEN paramétert a liblzma API dokumentációjának generálásához és telepítéséhez, Doxygen segítségével. A már generált dokumentációt eltávolították a csomagból.
Forrás: opennet.ru
