{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Update XZ Utils 5.8.1 met beveiligingspatch","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
De release van het XZ Utils-pakket 5.8.1 is uitgebracht, inclusief de liblzma-bibliotheek en hulpprogramma's voor het werken met gecomprimeerde gegevens in het formaat .1. XZ Utils 5.8.1 is de eerste significante release na het voorval waarbij een backdoor werd ontdekt die toegang via sshd mogelijk maakte. Vorige week werd in Git de tag 5.8.0 aangemaakt, maar de release werd niet officieel aangekondigd vanwege prestatie- en compatibiliteitsproblemen met oudere versies van GNU make die na het publiceren van de tag aan het licht kwamen. <\/p>\n
In de update van XZ Utils 5.8.1 is een kwetsbaarheid (CVE-2025-31115) verholpen die een crash veroorzaakte bij pogingen om speciaal opgemaakte archieven uit te pakken. De kwetsbaarheid werd veroorzaakt door een toegang tot een al vrijgegeven geheugenruimte (use after free). Een aanvaller kan zijn waarde op een adres schrijven dat wordt berekend als nulpointer + offset. Het probleem wordt als een onbedoelde fout beschouwd, aangezien de wijziging die dit veroorzaakte al lange tijd geleden in de code is aangebracht voordat ontwikkelaar Jia Tan aan het project begon, wiens activiteiten leidden tot de implementatie van de backdoor. <\/p>\n
Het probleem doet zich voor vanaf de release van XZ Utils 5.3.3alpha bij het decoderen in de multithread-modus (de single-threaded decoder is niet getroffen). Naast de standaardhulpprogramma's uit het xz-pakket, wordt de kwetsbaarheid ook aangetroffen in externe programma's die de functie lzma_stream_decoder_mt uit de liblzma-bibliotheek gebruiken. De kwetsbaarheid is verholpen in de release van XZ Utils 5.8.1 en is ook overgebracht naar de stabiele takken 5.4 en 5.6. U kunt updates volgen in de distributies op de volgende pagina's: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Als tijdelijke beschermingsmaatregel kunt u de decodering van bestanden in de multithread-modus uitschakelen door bij het starten van xz de opties --decompress --threads=1 te gebruiken of door de xzdec-hulpprogramma te gebruiken. <\/p>\n
Op het gebied van functionele wijzigingen in de XZ Utils-tak 5.8 kan het volgende worden opgemerkt: <\/p>\n
\n
In de LZMA\/LZMA2-decodering is de mogelijkheid toegevoegd om SSE2-instructies in plaats van de memcpy()-functie te gebruiken op 32- en 64-bits x86-systemen. Deze wijziging heeft het decoderen tot 5% versneld bij compilatie met Glibc en tot 15% bij compilatie met musl bij het uitpakken van bestanden met een zeer hoog compressieniveau.\n
In liblzma is de snelheid van codering verhoogd op 64-bits PowerPC- en RISC-V-systemen.\n
In lzma\/bcj.h is een low-level API voor BCJ-filters (Branch\/Call\/Jump) toegevoegd voor RISC-V-, ARM64- en x86-systemen.\n
De code voor het berekenen van CLMUL CRC is herschreven voor x86-, x86-64- en E2K-systemen.\n
Op platforms met LoongArch-processors zijn instructies opgenomen voor het versnellen van de berekening van CRC32-controlegetallen.\n
In het hulpprogramma xz is de functie fsync() aangeroepen om de bestandsbuffers voor het resulterende bestand te wissen voordat het oorspronkelijke bestand wordt verwijderd. Een optie --no-sync is ge\u00efmplementeerd om de synchronisatie voor verwijdering uit te schakelen.\n
In de utilities xz, xzdec en lzmainfo worden niet-afdrukbare tekens vervangen door een vraagteken bij het afdrukken van informatie op het scherm.\n
In xz en xzdec is op Linux-platforms ondersteuning voor de 5e en 6e versies van het Landlock-mechanisme ge\u00efmplementeerd voor procesisolatie.\n
Een script voor het controleren van licenties is toegevoegd: build-aux\/license-check.sh.\n
De scripts lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep en lzfgrep, ge\u00efmplementeerd als extensies bovenop de utility xz, zijn als verouderd verklaard. <\/ul>\n