xz 패키지에 대한 백도어 프로모션 회고

아마도 xz 패키지의 백도어는 개발자 Jia Tan이 도입한 것으로 추정됩니다. 그는 2022년에 관리자 자격을 받고 버전 5.4.2부터 릴리스를 출시했습니다. 백도어 작성자로 추정되는 xz 프로젝트 외에도 xz-java 및 xz-embedded 패키지 개발에 참여했으며 Linux 커널에서 사용되는 XZ Embedded 프로젝트의 관리자 수에 포함되었습니다.

백도어 프로모션을 조직하는 두 명의 참가자도 목격되었습니다. Jigar Kumar와 Hans Jansen은 분명히 가상 캐릭터입니다. Jigar Kumar는 2022년 XNUMX월 xz에서 초기 Jia Tan 패치를 채택하여 문자열 필터에 대한 지원을 구현하고 당시 유지관리자였던 Lasse Collin에게 도덕적 압력을 가하면서 자신의 책임을 이행할 수 없고 유용한 패치를 받아들이지 않았다고 비판했습니다. XNUMX월에 Lasse Collin은 프로젝트에 새로운 관리자가 필요하다는 데 동의하고 피로와 정신 건강 문제를 한탄하며 관리자 역할을 Jia Tan에게 넘겼습니다. 그 후 사용자 Jigar Kumar는 더 이상 메일링 리스트에 나타나지 않습니다.

관리자의 권한을 받은 Jia Tan은 프로젝트에 적극적으로 변경 사항을 추가하기 시작했으며 통계에 따르면 2023년 동안 변경 횟수 측면에서 개발자 중 64위를 차지했습니다. XNUMX년 XNUMX월, oss-fuzz 서비스에서 xz 패키지 테스트 책임자가 Lasse Collin에서 Jia Tan으로 교체되었고, XNUMX월에는 liblzma(crcXNUMX_fast 생성자)에 IFUNC 메커니즘에 대한 지원을 추가하는 xz 구성이 변경되었습니다. ifunc)로 대체되었으며 나중에 백도어에서 기능을 가로채는 데 사용되었습니다. 변경 사항은 Hans Jansen이 제안했고 Jia Tan은 그를 xz로 받아들였습니다. Hans Jansen 계정은 풀 요청을 제출하기 직전에 생성되었습니다.

2023년 2024월, Jia Tan은 '-fsanitize=address' 모드와 호환되지 않기 때문에 ifunc 검사를 비활성화해 달라는 요청을 oss-fuzz 개발자에게 보냈습니다. 23년 3월 초에 oss-fuzz와 tukaani.org의 메인 페이지에 있는 프로젝트 웹사이트 링크가 "tukaani.org/xz/"에서 "xz.tukaani.org"로 변경되었습니다. 여기서 하위 도메인은 " xz.tukaani.org”는 GitHub 페이지 서비스에 있으며 Jia Tan이 개인적으로 제어했습니다. 2월 4일, 디코더 테스트용 아카이브가 xz 저장소에 게시되었으며, 그중에는 숨겨진 백도어가 있는 bad-5.6.0-corrupt_lzmaXNUMX.xz 및 good-large_compressed.lzma 파일이 있었습니다. 백도어 활성화를 위한 MXNUMX 매크로는 XNUMX 릴리스의 tarball에만 포함되었으며 Git 저장소에서는 제외되었지만 .gitignore 파일에는 나타났습니다.

17월 25일에 IFUNC를 지원하는 패치를 개발했던 Hans Jansen이 데비안 프로젝트에 기여자로 등록되었고, XNUMX월 XNUMX일에 데비안 저장소의 xz-utils 패키지 버전을 업데이트하라는 요청을 받았습니다. . 버전 업데이트 요청은 Fedora 및 Ubuntu 개발자로부터도 이루어졌습니다(Ubuntu에서는 저장소가 동결되었으며 변경 사항이 거부되었습니다).

xz 버전 업데이트 요청에는 일부 사용자도 참여했는데, 그는 새 버전이 작업을 방해하는 결함을 제거했다고 말했습니다. 이 결함은 valgrind에서 디버깅하는 동안 감지되었습니다(백도어 핸들러에서 스택 레이아웃을 잘못 결정하여 문제가 발생했습니다). , 백도어 개발자는 버전 xz 5.6.1 .XNUMX에서 이러한 문제를 제거하려고 시도했습니다. 또한 이 결함에 관심을 보인 사람은 PostgreSQL 개발에 참여한 Microsoft 직원인 Andres Freund였습니다. 그는 백도어의 존재를 식별하고 이에 대해 커뮤니티에 알렸습니다.

출처 : opennet.ru