È stato rilevato del codice malevolo in xz/liblzma, progettato per ottenere accesso remoto non autorizzato tramite SSH (backdoor) ed eseguire comandi (CVE-2024-3094). Il malware è stato incorporato nelle versioni 5.6.0 e 5.6.1 e, come riferito da OpenNet, è riuscito a entrare in build e repository di Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker e rolling, pkgsrc current, Slackware current, Manjaro, Void Linux. Tuttavia, in molti luoghi la backdoor potrebbe non essere attivata. La situazione è aggravata dal fatto che lo sviluppatore, sospettato, ha partecipato negli ultimi anni anche a progetti affini della comunità. Pertanto, non ci sono motivi per fidarsi del codice sorgente di xz fino a quando non siano chiariti tutti i dettagli e le conseguenze dell'accaduto. In particolare, il repository pertinente su GitHub è già stato bloccato con il messaggio: 'Accesso a questo repository bloccato dai dipendenti di GitHub per violazione dei termini di servizio di GitHub.'
Fonte: 3dnews.ru
