Lo sviluppatore di Debian e ricercatore nel campo della sicurezza informatica Andres Freund segnala la scoperta di una probabile backdoor nel codice sorgente di xz delle versioni 5.6.0 e 5.6.1.
La backdoor consiste in una riga in uno degli script m4, che aggiunge del codice maligno offuscato alla fine dello script configure. Questo codice modificherà uno dei Makefile generati del progetto, il che porta infine all’inserimento del codice maligno (mascherato da archivio di test bad-3-corrupt_lzma2.xz) nel file binario liblzma.
La peculiarità dell'incidente è che il codice maligno è contenuto solo negli archivi tar distribuiti con il codice sorgente e non è presente nel repository git del progetto.
Si segnala che la persona sotto il cui nome è stato aggiunto il codice maligno al repository del progetto è o direttamente coinvolta nell'accaduto, o è stata vittima di una grave compromissione dei suoi account personali (ma il ricercatore tende alla prima opzione, poiché questa persona ha partecipato personalmente a diverse discussioni legate alle modifiche dannose).
Nella sua nota, il ricercatore osserva che, in ultima analisi, lo scopo della backdoor è apparentemente l'iniezione di codice nel processo sshd e la sostituzione del codice di controllo delle chiavi RSA, fornendo vari modi per verificare indirettamente se il codice maligno è attualmente in esecuzione sul vostro sistema.
Secondo un articolo di notizie del progetto openSUSE, a causa della complessità del codice della backdoor e del presunto meccanismo della sua sfruttamento, è difficile stabilire se sia mai stata "attivata" su questa macchina, e raccomanda una reinstallazione completa del sistema operativo con la rotazione di tutte le chiavi rilevanti su tutte le macchine su cui sono state mai trovate versioni infette di xz.
Fonte: linux.org.ru
