Andres Freund, a Debian fejlesztője és információbiztonsági szakember jelentette be, hogy valószínűleg hátsó bejáratot találtak az xz 5.6.0 és 5.6.1 verzióinak forráskódjában.
A hátsó bejárat egy sor a m4-scriptek egyikében, amely obfuszkált rosszindulatú kódot ad hozzá a configure script végéhez. Ez a kód módosítja a projekt generált Makefile-jének egyikét, végül pedig a rosszindulatú kód (amelyet a bad-3-corrupt_lzma2.xz tesztarchívum alatt álcáznak) bekerül a liblzma bináris fájlba.
Az incidens sajátossága, hogy a rosszindulatú kód benne van a fő DB példányhoz az elosztott forráskód tar-archívumokban, és nem található a projekt git-tárhelyén.
Jelentések szerint az az ember, akinek nevében a rosszindulatú kódot a projekt tárolójába adták, vagy közvetlenül érintett a történtekben, vagy súlyos kompromittáció áldozatává vált (de a szakember az első lehetőség felé hajlik, mivel ez az ember személyesen részt vett néhány, a rosszindulatú változásokkal kapcsolatos megbeszélésen).
A link szerint a kutató megjegyzi, hogy a hátsó bejárat célja láthatóan a kód injektálása az sshd folyamatba és az RSA-kulcsok ellenőrzésének manipulálása, valamint több módszert is felsorol, amelyekkel közvetve ellenőrizheti, hogy a rosszindulatú kód végrehajtódik-e aktuálisan a rendszerén.
A openSUSE projekthírében szereplő cikk szerint a hátsó bejárat kódjának bonyolultsága és a feltételezett kihasználási mechanizmus miatt nehéz megállapítani, hogy "működött"-e valaha ezen a gépen, és teljes operációs rendszer újratelepítést, valamint minden releváns kulcs rotációját javasolja minden olyan gépen, ahol valaha is fertőzött xz verziók találkoztak.
Forrás: linux.org.ru
