{"id":116209,"date":"2024-05-30T15:40:12","date_gmt":"2024-05-30T13:40:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora"},"modified":"2024-05-30T15:40:12","modified_gmt":"2024-05-30T13:40:12","slug":"proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","title":{"rendered":"Il progetto XZ ha pubblicato i risultati dell'audit delle commit e il primo aggiornamento dopo la scoperta di un backdoor.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lasse Collin, il precedente manutentore del progetto xz, ha ceduto i diritti al nuovo manutentore Jia Tan nel 2022. L'attivit\u00e0 di Tan ha portato all'introduzione di un backdoor. Sono stati pubblicati aggiornamenti correttivi per il pacchetto XZ Utils 5.2.13, 5.4.7 e 5.6.2, in cui sono stati rimossi i componenti del backdoor e altre modifiche sospette apportate a seguito delle attivit\u00e0 dannose del precedente manutentore. <\/p>\n
Inoltre, \u00e8 stato pubblicato un rapporto sulla revisione del repository Git e delle modifiche apportate da dicembre 2022 durante il periodo di Jia Tan come manutentore. Le modifiche sono state analizzate a livello di singoli commit. I commit nel repository non sono stati firmati digitalmente, ma non sono state rilevate evidenze di manomissioni da parte dei committers. In totale, sono stati rimossi 8 commit dannosi dal repository. <\/p>\n
Il codice CRC CLMUL non \u00e8 ancora stato rimosso dal codice sorgente, causando falsi positivi durante il controllo in MSAN (Memory sanitizer) e problemi con OSS Fuzz. In futuro, questo codice sar\u00e0 rielaborato, ma per ora si \u00e8 deciso di non modificarlo, per evitare regressioni nei rami pi\u00f9 vecchi. Non sono state rilevate modifiche sospette in vecchi commit, aggiunti prima delle modifiche correlate alla promozione del backdoor. I file po di localizzazione, i metadati nei file tar e gli archivi con rilasci e traduzioni sono stati controllati separatamente. <\/p>\n
Tra le modifiche si segnala anche l'inclusione delle correzioni di bug accumulate e la rimozione del supporto per il meccanismo IFUNC, fornito in Glibc per la chiamata indiretta delle funzioni, che \u00e8 stato utilizzato per organizzare l'intercettazione delle funzioni nel backdoor. \u00c8 stato notato che l'uso di IFUNC complica solo il codice, senza un reale guadagno in termini di prestazioni. Pertanto, sono stati rimossi dal pacchetto con i sorgenti anche il logo XZ, le versioni PDF delle pagine man e due test per le architetture x86 e SPARC, nei quali venivano elaborati file oggetto come dati di input. <\/p>\n
Tra le novit\u00e0, il decodificatore xzdec ha aggiunto il supporto per la versione 4 dell'ABI del meccanismo di isolamento delle applicazioni Landlock. Negli script di build di Autotools \u00e8 stata aggiunta l'opzione «—enable-doxygen»<\/span>, mentre nello script CMake \u00e8 stato aggiunto il parametro ENABLE_DOXYGEN per la generazione e l'installazione della documentazione API di liblzma utilizzando Doxygen. La documentazione gi\u00e0 generata \u00e8 stata rimossa dal pacchetto. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"