In xz/liblzma è stato rilevato un codice malevolo, volto ad ottenere accesso remoto non autorizzato tramite SSH (backdoor) ed esecuzione di comandi (CVE-2024-3094). Il malware è stato inserito nelle versioni 5.6.0 e 5.6.1 e, come riportato da OpenNet, è riuscito a entrare nelle build e nei repository di Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker e rolling, pkgsrc current, Slackware current, Manjaro, Void Linux. Tuttavia, non ovunque la backdoor può essere attivata. La situazione è aggravata dal fatto che lo sviluppatore, sospettato, ha partecipato negli ultimi anni anche a progetti correlati della comunità. Pertanto, non ci sono motivi per fidarsi del codice sorgente di xz fino a quando non saranno chiariti tutti i dettagli e le conseguenze di quanto accaduto. In particolare, il repository corrispondente su GitHub è già stato bloccato con il messaggio: «L'accesso a questo repository è stato bloccato dal personale di GitHub per violazione dei termini di servizio di GitHub».
Fonte: 3dnews.ru
