{"id":116209,"date":"2024-05-30T15:40:12","date_gmt":"2024-05-30T13:40:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora"},"modified":"2024-05-30T15:40:12","modified_gmt":"2024-05-30T13:40:12","slug":"proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","title":{"rendered":"Il progetto XZ ha pubblicato il risultato dell'audit dei commit e il primo aggiornamento dopo la scoperta di un backdoor","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lasse Collin, vecchio accompagnatore del progetto xz, ha trasferito nel 2022 i diritti al nuovo accompagnatore Jia Tan, il cui operato ha portato all'implementazione di un backdoor, ha pubblicato versioni correttive del pacchetto XZ Utils 5.2.13, 5.4.7 e 5.6.2, in cui sono stati rimossi i componenti del backdoor e altre modifiche sospette, aggiunte a seguito dell'attivit\u00e0 malevola del precedente accompagnatore. <\/p>\n
Inoltre, \u00e8 stato pubblicato un rapporto sulla revisione del repository Git e delle modifiche apportate da dicembre 2022 durante la gestione di Jia Tan. Le modifiche sono state analizzate a livello di singoli commit. I commit nel repository non sono stati firmati digitalmente, ma non ci sono state evidenze di contraffazione da parte dei committers. Complessivamente, sono stati rimossi 8 commit malevoli dal repository. <\/p>\n
Dalla base di codice non \u00e8 stata ancora rimossa la logica CRC CLMUL, che provoca falsi positivi durante il controllo in MSAN (Memory sanitizer) e problemi con OSS Fuzz. In futuro, questa logica sar\u00e0 rielaborata, ma al momento si \u00e8 deciso di non toccarla per evitare regressioni nei vecchi branch. Non sono state trovate modifiche sospette nei vecchi commit aggiunti prima dell'introduzione delle modifiche collegate al backdoor. I file di localizzazione po, i metadati nei file tar e gli archivi con release e traduzioni sono stati controllati separatamente. <\/p>\n
Tra le modifiche si segnala anche l'inclusione di correzioni di bug accumulate e la rimozione del supporto per il meccanismo IFUNC fornito in Glibc per la chiamata indiretta delle funzioni, che era stato utilizzato per organizzare l'intercettazione delle funzioni nel backdoor. Si \u00e8 notato che l'uso di IFUNC complica solo il codice, mentre i guadagni in termini di prestazioni sono trascurabili. Come precauzione, sono stati rimossi dal pacchetto con i sorgenti anche il logo XZ, le versioni PDF delle pagine man e due test per le architetture x86 e SPARC, nei quali venivano elaborati file oggetto come input. <\/p>\n
Tra le novit\u00e0, il decoder xzdec ha aggiunto il supporto per la versione 4 dell'ABI del meccanismo di isolamento delle applicazioni Landlock. Negli script di compilazione Autotools \u00e8 stata aggiunta l'opzione «—enable-doxygen», mentre nello script Cmake il parametro ENABLE_DOXYGEN per la generazione e l'installazione della documentazione API di liblzma utilizzando Doxygen. La documentazione gi\u00e0 generata \u00e8 stata rimossa dal pacchetto. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"