{"id":114665,"date":"2024-03-30T12:25:45","date_gmt":"2024-03-30T10:25:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/retrospektiva-prodvizheniya-bekdora-v-paket-xz"},"modified":"2024-03-30T12:25:45","modified_gmt":"2024-03-30T10:25:45","slug":"retrospektiva-prodvizheniya-bekdora-v-paket-xz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/retrospektiva-prodvizheniya-bekdora-v-paket-xz","title":{"rendered":"Retrospettiva della promozione di un backdoor nel pacchetto xz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Si sospetta che un backdoor nel pacchetto xz sia stato inserito dallo sviluppatore Jia Tan, che nel 2022 ha ottenuto lo status di manutentore e ha rilasciato versioni a partire dalla 5.4.2. Oltre al progetto xz, si ritiene che l'autore del backdoor abbia partecipato anche allo sviluppo dei pacchetti xz-java e xz-embedded, ed \u00e8 stato incluso tra i manutentori del progetto XZ Embedded, utilizzato nel kernel Linux. <\/p>\n
Nell'ambito della promozione del backdoor sono stati notati altri due partecipanti \u2014 Jigar Kumar e Hans Jansen, che sembrano essere personaggi virtuali. Jigar Kumar, ad aprile 2022, ha contribuito all'adozione di patch preliminari di Jia Tan per xz, implementando il supporto per i filtri di stringa e mettendo sotto pressione morale Lasse Collin, il manutentore dell'epoca, criticando la sua incapacit\u00e0 di svolgere i propri doveri e di accettare patch utili. A giugno, Lasse Collin ha concordato che il progetto aveva bisogno di un nuovo manutentore, lamentandosi di burnout e problemi di salute mentale, e ha trasferito il ruolo di maintainer a Jia Tan. Dopo questo, Jigar Kumar non \u00e8 pi\u00f9 apparso nelle comunicazioni. <\/p>\n
Dopo aver ottenuto i diritti di mantenitore, Jia Tan ha iniziato ad apportare attivamente modifiche al progetto e, secondo le statistiche, ha ottenuto il secondo posto tra gli sviluppatori per numero di modifiche negli ultimi due anni. A marzo 2023, il responsabile dei test del pacchetto xz nel servizio oss-fuzz \u00e8 stato sostituito da Lasse Collin a Jia Tan, e a giugno sono state accettate modifiche nel xz che hanno aggiunto al liblzma il supporto per il meccanismo IFUNC (il costruttore crc64_fast \u00e8 stato sostituito da ifunc), successivamente utilizzato per organizzare l'intercettazione delle funzioni nel retro di porta. Modifica proposta da Hans Jansen, e Jia Tan l'ha accettata nel xz. L'account di Hans Jansen \u00e8 stato creato immediatamente prima dell'invio della pull request. <\/p>\n
A luglio 2023, Jia Tan ha inviato agli sviluppatori di oss-fuzz una richiesta per disabilitare il controllo ifunc a causa della sua incompatibilit\u00e0 con l'impostazione '-fsanitize=address'. All'inizio di febbraio 2024, il link al sito del progetto in oss-fuzz e sulla pagina principale di tukaani.org \u00e8 stato modificato da 'tukaani.org\/xz\/' a 'xz.tukaani.org', dove il sottodominio 'xz.tukaani.org' era ospitato nel servizio GitHub Pages e controllato personalmente da Jia Tan. Il 23 febbraio sono stati caricati nel repository xz archivi per testare il funzionamento del decodificatore, i quali includevano i file bad-3-corrupt_lzma2.xz e good-large_compressed.lzma con un backdoor nascosto. I macro M4 per attivare il backdoor erano inclusi solo nell'archivio tar con il rilascio 5.6.0 e sono stati esclusi dal repository Git, ma erano presenti nel file .gitignore. <\/p>\n
Il 17 marzo, Hans Jansen, che aveva precedentemente sviluppato patch per il supporto di IFUNC, \u00e8 stato registrato come partecipante del progetto Debian, e il 25 marzo ha inviato una richiesta per l'aggiornamento della versione del pacchetto xz-utils nel repository Debian. Richieste di aggiornamento versione sono state inviate anche agli sviluppatori di Fedora e Ubuntu (nel caso di Ubuntu, il repository era in fase di freeze e la modifica \u00e8 stata rifiutata). <\/p>\n
Alla richiesta di aggiornare la versione xz si sono uniti anche alcuni utenti che hanno segnalato che nella nuova versione sono stati risolti i malfunzionamenti che interferivano con il lavoro durante il debug in valgrind (i problemi erano causati da una errata definizione della disposizione dello stack nell'handler del backdoor e questi problemi sono stati affrontati dai programmatori del backdoor nella versione xz 5.6.1). Anche Andres Freund, un collaboratore di Microsoft coinvolto nello sviluppo di PostgreSQL, ha mostrato interesse per il malfunzionamento, rivelando l'esistenza del backdoor e avvisando la comunit\u00e0 al riguardo. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"