Lasse Collin, il precedente manutentore del progetto xz, ha ceduto i diritti al nuovo manutentore Jia Tan nel 2022. L'attività di Tan ha portato all'introduzione di un backdoor. Sono stati pubblicati aggiornamenti correttivi per il pacchetto XZ Utils 5.2.13, 5.4.7 e 5.6.2, in cui sono stati rimossi i componenti del backdoor e altre modifiche sospette apportate a seguito delle attività dannose del precedente manutentore.
Inoltre, è stato pubblicato un rapporto sulla revisione del repository Git e delle modifiche apportate da dicembre 2022 durante il periodo di Jia Tan come manutentore. Le modifiche sono state analizzate a livello di singoli commit. I commit nel repository non sono stati firmati digitalmente, ma non sono state rilevate evidenze di manomissioni da parte dei committers. In totale, sono stati rimossi 8 commit dannosi dal repository.
Il codice CRC CLMUL non è ancora stato rimosso dal codice sorgente, causando falsi positivi durante il controllo in MSAN (Memory sanitizer) e problemi con OSS Fuzz. In futuro, questo codice sarà rielaborato, ma per ora si è deciso di non modificarlo, per evitare regressioni nei rami più vecchi. Non sono state rilevate modifiche sospette in vecchi commit, aggiunti prima delle modifiche correlate alla promozione del backdoor. I file po di localizzazione, i metadati nei file tar e gli archivi con rilasci e traduzioni sono stati controllati separatamente.
Tra le modifiche si segnala anche l'inclusione delle correzioni di bug accumulate e la rimozione del supporto per il meccanismo IFUNC, fornito in Glibc per la chiamata indiretta delle funzioni, che è stato utilizzato per organizzare l'intercettazione delle funzioni nel backdoor. È stato notato che l'uso di IFUNC complica solo il codice, senza un reale guadagno in termini di prestazioni. Pertanto, sono stati rimossi dal pacchetto con i sorgenti anche il logo XZ, le versioni PDF delle pagine man e due test per le architetture x86 e SPARC, nei quali venivano elaborati file oggetto come dati di input.
Tra le novità, il decodificatore xzdec ora supporta la versione 4 dell'ABI del meccanismo di isolamento delle applicazioni Landlock. Negli script di costruzione Autotools è stata aggiunta l'opzione «--enable-doxygen», mentre nello script Cmake il parametro ENABLE_DOXYGEN per generare e installare la documentazione dell'API liblzma utilizzando Doxygen. La documentazione già generata è stata rimossa dal pacchetto.
Fonte: opennet.ru
