Lasse Collin, vecchio accompagnatore del progetto xz, ha trasferito nel 2022 i diritti al nuovo accompagnatore Jia Tan, il cui operato ha portato all'implementazione di un backdoor, ha pubblicato versioni correttive del pacchetto XZ Utils 5.2.13, 5.4.7 e 5.6.2, in cui sono stati rimossi i componenti del backdoor e altre modifiche sospette, aggiunte a seguito dell'attività malevola del precedente accompagnatore.
Inoltre, è stato pubblicato un rapporto sulla revisione del repository Git e delle modifiche apportate da dicembre 2022 durante la gestione di Jia Tan. Le modifiche sono state analizzate a livello di singoli commit. I commit nel repository non sono stati firmati digitalmente, ma non ci sono state evidenze di contraffazione da parte dei committers. Complessivamente, sono stati rimossi 8 commit malevoli dal repository.
Dalla base di codice non è stata ancora rimossa la logica CRC CLMUL, che provoca falsi positivi durante il controllo in MSAN (Memory sanitizer) e problemi con OSS Fuzz. In futuro, questa logica sarà rielaborata, ma al momento si è deciso di non toccarla per evitare regressioni nei vecchi branch. Non sono state trovate modifiche sospette nei vecchi commit aggiunti prima dell'introduzione delle modifiche collegate al backdoor. I file di localizzazione po, i metadati nei file tar e gli archivi con release e traduzioni sono stati controllati separatamente.
Tra le modifiche si segnala anche l'inclusione di correzioni di bug accumulate e la rimozione del supporto per il meccanismo IFUNC fornito in Glibc per la chiamata indiretta delle funzioni, che era stato utilizzato per organizzare l'intercettazione delle funzioni nel backdoor. Si è notato che l'uso di IFUNC complica solo il codice, mentre i guadagni in termini di prestazioni sono trascurabili. Come precauzione, sono stati rimossi dal pacchetto con i sorgenti anche il logo XZ, le versioni PDF delle pagine man e due test per le architetture x86 e SPARC, nei quali venivano elaborati file oggetto come input.
Tra le novità nel decodificatore xzdec è stata aggiunta la supporto per la versione 4 dell'ABI del meccanismo di isolamento delle applicazioni Landlock. Negli script di build di Autotools è stata aggiunta l'opzione "--enable-doxygen", mentre nello script Cmake il parametro ENABLE_DOXYGEN per la generazione e l'installazione della documentazione sull'API liblzma, utilizzando Doxygen. La documentazione già generata è stata rimossa dal pacchetto.
Fonte: opennet.ru
