Lo sviluppatore Debian e ricercatore nel campo della sicurezza informatica Andres Freund ha segnalato la scoperta di un possibile backdoor nel codice sorgente delle versioni 5.6.0 e 5.6.1 di xz.
Il backdoor è costituito da una stringa in uno degli script m4, che aggiunge codice malevolo offuscato alla fine dello script configure. Questo codice modifica poi uno dei Makefile generati del progetto, il che porta infine all'inclusione del codice malevolo (mascherato come archivio di test bad-3-corrupt_lzma2.xz) nel file binario liblzma.
La peculiarità dell'incidente è che il codice malevolo è contenuto solo negli archivi tar distribuiti contenenti il codice sorgente e non è presente nel repository git del progetto.
Si segnala che la persona sotto il cui nome il codice malevolo è stato aggiunto al repository del progetto è o direttamente coinvolta nell'accaduto, o è stata vittima di una grave compromissione dei propri account personali (ma il ricercatore inclina verso la prima opzione, poiché questa persona ha partecipato personalmente a diverse discussioni riguardanti le modifiche malevole).
Nel suo rapporto, il ricercatore osserva che l'obiettivo finale del backdoor sembra essere l'iniezione di codice nel processo sshd e la sostituzione del codice di verifica delle chiavi RSA, e fornisce diversi modi per controllare indirettamente se il codice malevolo è attualmente in esecuzione sul sistema.
Secondo un articolo di notizie del progetto openSUSE, a causa della complessità del codice del backdoor e del presunto meccanismo di sfruttamento, è difficile stabilire se sia stato attivato almeno una volta su questa macchina. Si consiglia di procedere con una reinstallazione completa del sistema operativo e di ruotare tutte le chiavi rilevanti su tutte le macchine che sono state in qualche modo in contatto con versioni infette di xz.
Fonte: linux.org.ru
