{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Aggiornamento XZ Utils 5.8.1 con correzione delle vulnerabilit\u00e0.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata pubblicata la release del pacchetto XZ Utils 5.8.1, che include la libreria liblzma e strumenti per lavorare con dati compressi nel formato \u00ab.xz\u00bb. XZ Utils 5.8.1 \u00e8 diventata la prima release significativa dopo l'incidente di scoperta di un backdoor che organizzava l'accesso tramite sshd. La settimana scorsa \u00e8 stato creato un tag 5.8.0 in Git, ma il rilascio non \u00e8 stato ufficialmente annunciato a causa di problemi di prestazioni e compatibilit\u00e0 con le versioni precedenti di GNU make emersi dopo la pubblicazione del tag. <\/p>\n
Nell'aggiornamento di XZ Utils 5.8.1 \u00e8 stata corretta una vulnerabilit\u00e0 (CVE-2025-31115) che provoca un arresto anomalo quando si tenta di estrarre archivi appositamente formattati. La vulnerabilit\u00e0 \u00e8 causata dall'accesso a un'area di memoria gi\u00e0 liberata (use after free). Un attaccante pu\u00f2 ottenere la scrittura del proprio valore a un indirizzo calcolato come \u00abpuntatore nullo + offset\u00bb. Il problema \u00e8 considerato un errore non intenzionale, poich\u00e9 la modifica che l'ha causato \u00e8 stata introdotta nel codice molto tempo prima dell'arrivo nel progetto dello sviluppatore Jia Tan, il cui operato ha portato all'introduzione del backdoor. <\/p>\n
Il problema si manifesta a partire dalla release di XZ Utils 5.3.3alpha durante la decodifica in modalit\u00e0 multithread (il decodificatore a thread singolo non \u00e8 interessato dal problema). Oltre agli strumenti standard del pacchetto xz, la vulnerabilit\u00e0 si manifesta anche in programmi di terze parti che utilizzano la funzione lzma_stream_decoder_mt della libreria liblzma. La vulnerabilit\u00e0 \u00e8 stata corretta nella release di XZ Utils 5.8.1 ed \u00e8 stata riportata anche nei rami stabili 5.4 e 5.6. \u00c8 possibile tenere traccia degli aggiornamenti nei pacchetti distribuiti sulle seguenti pagine: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Un modo per proteggersi \u00e8 disattivare la decodifica dei file in modalit\u00e0 multithread, utilizzando al lancio di xz le opzioni \u00ab--decompress --threads=1\u00bb oppure impiegando l'utilit\u00e0 xzdec. <\/p>\n
Tra le modifiche funzionali nella versione XZ Utils 5.8 si possono notare: <\/p>\n
\n
Nel decodificatore LZMA\/LZMA2 \u00e8 stata aggiunta la possibilit\u00e0 di utilizzare istruzioni SSE2 al posto della funzione memcpy() su sistemi x86 a 32 e 64 bit. Questa modifica ha consentito di ridurre il tempo di decodifica fino al 5% durante la compilazione con Glibc e fino al 15% durante la compilazione con musl quando si estraggono file con un livello di compressione molto elevato.\n
Nella liblzma \u00e8 stata aumentata la velocit\u00e0 di codifica sui sistemi a 64 bit PowerPC e RISC-V.\n
Nel file lzma\/bcj.h \u00e8 stata aggiunta un'API a basso livello per filtri BCJ (Branch\/Call\/Jump) per sistemi RISC-V, ARM64 e x86.\n
\u00c8 stato riscritto il codice per il calcolo del CRC CLMUL per i sistemi x86, x86-64 ed E2K.\n
Sulle piattaforme con processori LoongArch sono state implementate istruzioni per velocizzare il calcolo dei checksum CRC32.\n
Nell'utilit\u00e0 \u00abxz\u00bb \u00e8 stata implementata la chiamata alla funzione fsync() per svuotare la cache dei file per il file risultante prima di eliminare il file sorgente. Per disattivare la sincronizzazione prima dell'eliminazione, \u00e8 stata realizzata l'opzione \u00ab--no-sync\u00bb.\n
Negli strumenti xz, xzdec e lzmainfo, durante la visualizzazione delle informazioni sullo schermo, \u00e8 stata garantita la sostituzione dei caratteri non stampabili con il punto interrogativo.\n
In xz e xzdec, sulla piattaforma Linux, \u00e8 stato implementato il supporto per le versioni 5 e 6 del meccanismo Landlock per l'isolamento del processo.\n
\u00c8 stato aggiunto uno script per il controllo delle licenze build-aux\/license-check.sh.\n
Sono stati dichiarati obsoleti gli script lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep e lzfgrep, realizzati come estensioni dell'utilit\u00e0 xz. <\/ul>\n