🥇 XZ परियोजनाले कमिट अडिटको नतिजा र ब्याकडोर पत्ता लागेपछिको पहिलो अपडेट प्रकाशित गरेको छ

लासे कोलिन, xz परियोजनाको पुरानो संरक्षक जसले 2022 मा नयाँ रखरखावकर्ता जिया ट्यानलाई अधिकार हस्तान्तरण गरे, जसको गतिविधिहरूले ब्याकडोरको परिचय दियो, XZ Utils प्याकेज 5.2.13, 5.4.7 र 5.6.2 को सुधारात्मक रिलीजहरू प्रकाशित गरे। XNUMX, जसले ब्याकडोर कम्पोनेन्टहरू र अन्य संदिग्ध परिवर्तनहरू हटायो जुन अघिल्लो मर्मतकर्ताको खराब गतिविधिहरूको परिणाम स्वरूप थपियो।

थप रूपमा, Git भण्डारमा समीक्षा प्रतिवेदन प्रकाशित गरिएको छ र डिसेम्बर 2022 देखि जिया तानको संरक्षकको रूपमा कार्यकालमा थपिएका परिवर्तनहरू। परिवर्तनहरू व्यक्तिगत कमिटहरूको स्तरमा विश्लेषण गरिन्छ। भण्डारमा भएका प्रतिबद्धताहरू डिजिटल रूपमा हस्ताक्षर गरिएका थिएनन्, तर प्रतिबद्धकर्ताहरूको तर्फबाट छेडछाडको कुनै संकेत थिएन। कुल 8 मालिसियस कमिटहरू भण्डारबाट हटाइयो।

CRC CLMUL कोड, जसले MSAN (मेमोरी सेनिटाइजर) मा जाँच गर्दा झूटा सकारात्मक निम्त्याउँछ र OSS Fuzz मा समस्याहरू, कोड आधारबाट अझै हटाइएको छैन। भविष्यमा, तिनीहरूले यो कोड पुन: काम गर्ने योजना बनाएका छन्, तर अहिलेको लागि यो पुरानो शाखाहरूमा रिग्रेसनहरूबाट बच्नको लागि यसलाई नछुने निर्णय गरिएको छ। ब्याकडोरको प्रवर्द्धनसँग सम्बन्धित परिवर्तनहरू अघि थपिएका पुराना कमिटहरूमा कुनै संदिग्ध परिवर्तनहरू पहिचान गरिएको थिएन। स्थानीयकरण पो फाइलहरू, टार फाइलहरूमा मेटाडाटा, र रिलीजहरू र अनुवादहरू सहितको अभिलेखहरू अलग-अलग जाँच गरियो।

परिवर्तनहरूमा ब्याकलॉग गरिएको बग फिक्सहरूको समावेश र Glibc मा अप्रत्यक्ष प्रकार्य कलहरूको लागि प्रदान गरिएको IFUNC संयन्त्रको लागि समर्थन हटाउने पनि समावेश छ, जुन ब्याकडोरमा प्रकार्य अवरोधहरू व्यवस्थित गर्न प्रयोग गरिएको थियो। यो नोट गरिएको छ कि IFUNC प्रयोग गर्नाले कोड मात्र जटिल बनाउँछ, र यसबाट कार्यसम्पादन लाभ महत्त्वपूर्ण छैन। सावधानीको रूपमा, XZ लोगो, म्यान पृष्ठहरूको PDF संस्करणहरू, र x86 र SPARC आर्किटेक्चरहरूका लागि दुई परीक्षणहरू, जसले वस्तु फाइलहरूलाई इनपुटको रूपमा प्रशोधन गर्दछ, पनि स्रोत प्याकेजबाट हटाइयो।

xzdec डिकोडरमा आविष्कारहरू मध्ये, ल्यान्डलक अनुप्रयोग अलगाव संयन्त्रको ABI संस्करण 4 को लागि समर्थन थपिएको छ। Autotools बिल्ड स्क्रिप्टहरूमा "--enable-doxygen" विकल्प थपिएको छ, र ENABLE_DOXYGEN प्यारामिटर Cmake लिपिमा Doxygen प्रयोग गरेर liblzma API को लागि कागजातहरू सिर्जना गर्न र स्थापना गर्न थपिएको छ। पहिले नै उत्पन्न कागजात प्याकेजबाट हटाइयो।

स्रोत: opennet.ru

XZ परियोजनाले कमिट अडिटको नतिजा प्रकाशित गर्‍यो र ब्याकडोर पहिचान गरेपछि पहिलो अपडेट