{"id":116209,"date":"2024-05-30T15:40:12","date_gmt":"2024-05-30T13:40:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora"},"modified":"2024-05-30T15:40:12","modified_gmt":"2024-05-30T13:40:12","slug":"proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","title":{"rendered":"Het XZ-project heeft de resultaten van de audit van commits gepubliceerd en de eerste update na de ontdekking van de backdoor.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lasse Collin, de oude maintainer van het xz-project, heeft in 2022 de verantwoordelijkheden overgedragen aan de nieuwe maintainer Jia Tan. Deze overdracht leidde tot de invoering van een backdoor. Hij heeft correcties gepubliceerd in de XZ Utils-pakketten 5.2.13, 5.4.7 en 5.6.2, waarin de backdoor-componenten en andere verdachte wijzigingen die waren toegevoegd als gevolg van de kwaadaardige activiteiten van de vorige maintainer, zijn verwijderd. <\/p>\n
Daarnaast is er een rapport gepubliceerd over de beoordeling van de Git-repository en de wijzigingen die zijn aangebracht sinds december 2022, tijdens de periode dat Jia Tan als maintainer fungeerde. De wijzigingen zijn op het niveau van individuele commits geanalyseerd. De commits in de repository waren niet digitaal ondertekend, maar er zijn geen tekenen van vervalsing door de committer gevonden. In totaal zijn er 8 kwaadaardige commits uit de repository verwijderd. <\/p>\n
De code voor CRC CLMUL is nog niet uit de codebase verwijderd, omdat deze valse positieven veroorzaakt bij controle in MSAN (Memory sanitizer) en problemen met OSS Fuzz. In de toekomst is het de bedoeling om deze code te herzien, maar op dit moment is besloten om deze niet aan te passen, om regressies in oude takken te voorkomen. Er zijn geen verdachte wijzigingen aangetroffen in oude commits die v\u00f3\u00f3r de wijzigingen in verband met het bevorderen van de backdoor zijn toegevoegd. De po-bestanden voor lokalisatie, de metadata in de tar-bestanden en de archieven met releases en vertalingen zijn afzonderlijk gecontroleerd. <\/p>\n
Er zijn ook wijzigingen aangebracht die de verzameling van opgestapelde bugfixes omvatten en de verwijdering van de ondersteuning voor het IFUNC-mechanisme, dat in Glibc werd aangeboden voor indirecte functieaanroep, dat werd gebruikt voor het afvangen van functies in de backdoor. Er is opgemerkt dat het gebruik van IFUNC de code alleen maar complicert, terwijl de prestatiewinst verwaarloosbaar is. Ter beveiliging zijn uit het pakket met de bronbestanden ook het XZ-logo, PDF-versies van man-pagina's en twee tests voor de x86- en SPARC-architecturen verwijderd, waarin objectbestanden als invoergegevens werden verwerkt. <\/p>\n
Met een van de nieuwigheden in de xzdec-decoder is ondersteuning toegevoegd voor versie 4 van de ABI van het Landlock-applicatie-isolatiemechanisme. In de Autotools-buildscripts is de optie «—enable-doxygen» toegevoegd, en in het CMake-script de parameter ENABLE_DOXYGEN om documentatie voor de API liblzma te genereren en te installeren met Doxygen. De al gegenereerde documentatie is uit het pakket verwijderd. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"