Il presunto backdoor nel pacchetto xz è stato inserito dallo sviluppatore Jia Tan, che nel 2022 ha ottenuto lo status di curatore e ha iniziato a rilasciare versioni a partire dalla versione 5.4.2. Oltre al progetto xz, si presume che l'autore del backdoor abbia partecipato anche allo sviluppo dei pacchetti xz-java e xz-embedded, ed è stato incluso tra i manutentori del progetto XZ Embedded, utilizzato nel kernel di Linux.
Nell'organizzazione della diffusione del backdoor sono stati notati altri due partecipanti: Jigar Kumar e Hans Jansen, che sembrano essere personaggi virtuali. Jigar Kumar ha contribuito nell'aprile 2022 all'adozione di patch precoci di Jia Tan in xz, implementando il supporto per i filtri di stringa e mettendo pressione morale su Lasse Collin, l'allora curatore, criticandolo per la sua incapacità di eseguire i suoi compiti e per non accettare patch utili. A giugno, Lasse Collin ha concordato che il progetto aveva bisogno di un nuovo curatore, ha lamentato uno stato di burnout e problemi di salute mentale, e ha trasferito i diritti di manutenzione a Jia Tan. Dopo questo, l'utente Jigar Kumar non è più apparso nella mailing list.
Ottenuti i diritti di manutenzione, Jia Tan ha iniziato ad aggiungere attivamente modifiche al progetto e, secondo le statistiche degli ultimi due anni, ha occupato il secondo posto tra gli sviluppatori per numero di modifiche. Nel marzo 2023, il responsabile dei test del pacchetto xz nel servizio oss-fuzz è stato sostituito da Lasse Collin a Jia Tan, e a giugno sono state accettate in xz modifiche che aggiungevano supporto al meccanismo IFUNC in liblzma (il costruttore crc64_fast è stato sostituito con ifunc), che è stato successivamente utilizzato per organizzare l'intercettazione delle funzioni nel backdoor. La modifica è stata proposta da Hans Jansen, e Jia Tan l'ha accettata nel progetto xz. L'account di Hans Jansen è stato creato poco prima dell'invio della pull request.
Nel luglio 2023, Jia Tan ha inviato agli sviluppatori di oss-fuzz una richiesta per disattivare il controllo ifunc a causa della sua incompatibilità con la modalità «-fsanitize=address». All'inizio di febbraio 2024, il collegamento al sito del progetto in oss-fuzz e sulla home page di tukaani.org è stato cambiato da «tukaani.org/xz/» a «xz.tukaani.org», dove il sottodominio «xz.tukaani.org» era ospitato su GitHub Pages e controllato personalmente da Jia Tan. Il 23 febbraio sono stati caricati nel repository xz archivi per testare il funzionamento del decodificatore, tra cui i file bad-3-corrupt_lzma2.xz e good-large_compressed.lzma contenenti un backdoor nascosto. Gli M4-macros per attivare il backdoor erano inclusi solo nell'archivio tar con la release 5.6.0 ed erano stati esclusi dal repository Git, ma erano emersi nel file .gitignore.
Il 17 marzo, Hans Jansen, che in precedenza aveva sviluppato patch per il supporto di IFUNC, è stato registrato come partecipante al progetto Debian, e il 25 marzo ha inviato una richiesta per aggiornare la versione del pacchetto xz-utils nel repository Debian. Richieste di aggiornamento della versione sono state inoltre inviate agli sviluppatori di Fedora e Ubuntu (nel repository Ubuntu la situazione era in fase di congelamento e la modifica è stata rifiutata).
Alcuni utenti hanno anche aderito alla richiesta di aggiornare la versione xz, affermando che nella nuova versione erano stati risolti problemi di malfunzionamento riscontrati durante il debug in valgrind (i problemi erano causati da una errata definizione del layout dello stack nel gestore del backdoor e questi problemi sono stati tentati di essere risolti dagli sviluppatori del backdoor nella versione xz 5.6.1). Il malfunzionamento ha attirato anche l'attenzione di Andres Freund, un dipendente di Microsoft coinvolto nello sviluppo di PostgreSQL, che ha identificato la presenza del backdoor e ha avvisato la comunità.
Fonte: opennet.ru
