Prawdopodobnie backdoor w pakiecie xz zosta\u0142 wprowadzony przez dewelopera Jia Tan, kt\u00f3ry w 2022 roku uzyska\u0142 status maintainer'a i wydawa\u0142 wersje od 5.4.2. Opr\u00f3cz projektu xz, przypuszczalny autor backdoora bra\u0142 tak\u017ce udzia\u0142 w rozwoju pakiet\u00f3w xz-java i xz-embedded, a tak\u017ce by\u0142 jednym z maintainer\u00f3w projektu XZ Embedded, u\u017cywanego w j\u0105drze Linux. <\/p>\n
W organizacji promocji backdoora zauwa\u017cono tak\u017ce dw\u00f3ch uczestnik\u00f3w \u2014 Jigar Kumar i Hans Jansen, kt\u00f3rzy najwyra\u017aniej s\u0105 fikcyjnymi postaciami. Jigar Kumar w kwietniu 2022 roku przyczyni\u0142 si\u0119 do przyj\u0119cia do xz wczesnych poprawek Jia Tan, kt\u00f3re wprowadza\u0142y wsparcie dla filtr\u00f3w tekstowych, i wywiera\u0142 presj\u0119 moraln\u0105 na Lasse'a Collina, \u00f3wczesnego konserwatora, krytykuj\u0105c go za to, \u017ce nie jest w stanie wype\u0142nia\u0107 swoich obowi\u0105zk\u00f3w i nie przyjmuje u\u017cytecznych poprawek. W czerwcu Lasse Collin zgodzi\u0142 si\u0119, \u017ce projekt potrzebuje nowego konserwatora, zmartwi\u0142 si\u0119 wypaleniem zawodowym i problemami ze zdrowiem psychicznym oraz przekaza\u0142 uprawienia g\u0142\u00f3wnego opiekuna Jia Tan. Po tym u\u017cytkownik Jigar Kumar wi\u0119cej nie pojawi\u0142 si\u0119 w dyskusjach. <\/p>\n
Otrzymuj\u0105c prawa maintainer'a, Jia Tan zacz\u0105\u0142 aktywnie dodawa\u0107 zmiany do projektu i wed\u0142ug statystyk, w ci\u0105gu dw\u00f3ch lat zaj\u0105\u0142 drugie miejsce w\u015br\u00f3d deweloper\u00f3w pod wzgl\u0119dem liczby zmian. W marcu 2023 roku odpowiedzialny za testowanie pakietu xz w serwisie oss-fuzz zosta\u0142 zast\u0105piony z Lasse Collin na Jia Tan, a w czerwcu do xz zosta\u0142y przyj\u0119te zmiany, kt\u00f3re doda\u0142y w liblzma wsparcie dla mechanizmu IFUNC (konstruktor crc64_fast zosta\u0142 zast\u0105piony przez ifunc), kt\u00f3ry p\u00f3\u017aniej zosta\u0142 wykorzystany do organizacji przechwytywania funkcji w backdoorze. Zmian\u0119 zaproponowa\u0142 Hans Jansen, a Jia Tan przyj\u0105\u0142 j\u0105 do xz. Konto Hans Jansen zosta\u0142o za\u0142o\u017cone tu\u017c przed wys\u0142aniem pull-requestu. <\/p>\n
W lipcu 2023 roku Jia Tan wys\u0142a\u0142 deweloperom oss-fuzz pro\u015bb\u0119 o wy\u0142\u0105czenie sprawdzania ifunc z powodu jego niekompatybilno\u015bci z trybem \u2018-fsanitize=address\u2019. Na pocz\u0105tku lutego 2024 roku link do strony projektu w oss-fuzz oraz na g\u0142\u00f3wnej stronie tukaani.org zosta\u0142 zmieniony z \u2018tukaani.org\/xz\/\u2019 na \u2018xz.tukaani.org\u2019, gdzie subdomena \u2018xz.tukaani.org\u2019 dzia\u0142a\u0142a w serwisie GitHub Pages i by\u0142a kontrolowana osobi\u015bcie przez Jia Tan. 23 lutego w repozytorium xz opublikowano archiwa do testowania dzia\u0142ania dekodera, w\u015br\u00f3d kt\u00f3rych znajdowa\u0142y si\u0119 pliki bad-3-corrupt_lzma2.xz i good-large_compressed.lzma ze z\u0142o\u015bliwym backdoorem. M4-makra do aktywacji backdoora by\u0142y zawarte tylko w archiwum tar z wydaniem 5.6.0 i zosta\u0142y wy\u0142\u0105czone z repozytorium Git, ale pojawi\u0142y si\u0119 w pliku .gitignore. <\/p>\n
17 marca Hans Jansen, kt\u00f3ry wcze\u015bniej opracowa\u0142 poprawki z obs\u0142ug\u0105 IFUNC, zosta\u0142 zarejestrowany jako uczestnik projektu Debian, a 25 marca wys\u0142a\u0142 pro\u015bb\u0119 o aktualizacj\u0119 wersji pakietu xz-utils w repozytorium Debian. Pro\u015bby o aktualizacj\u0119 wersji r\u00f3wnie\u017c wp\u0142yn\u0119\u0142y do deweloper\u00f3w Fedory i Ubuntu (w przypadku Ubuntu repozytorium by\u0142o w fazie zamro\u017cenia i zmiana zosta\u0142a odrzucona). <\/p>\n
Do pr\u00f3\u015bb o aktualizacj\u0119 wersji xz do\u0142\u0105czyli tak\u017ce niekt\u00f3rzy u\u017cytkownicy, twierdz\u0105c, \u017ce w nowej wersji usuni\u0119to zak\u0142\u00f3cenia wp\u0142ywaj\u0105ce na dzia\u0142anie, wykrywane podczas debugowania w valgrind (problemy wynika\u0142y z b\u0142\u0119dnego okre\u015blenia uk\u0142adu stosu w obs\u0142udze backdoora i te problemy deweloperzy backdoora starali si\u0119 usun\u0105\u0107 w wersji xz 5.6.1). Problemem zainteresowa\u0142 si\u0119 r\u00f3wnie\u017c Andres Freund, pracownik Microsoftu uczestnicz\u0105cy w rozwoju PostgreSQL, kt\u00f3ry wykry\u0142 obecno\u015b\u0107 backdoora i powiadomi\u0142 o tym spo\u0142eczno\u015b\u0107. \u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u044d\u043a\u0434\u043e\u0440 \u0432 \u043f\u0430\u043a\u0435\u0442 xz \u0431\u044b\u043b \u0432\u043d\u0435\u0434\u0440\u0451\u043d \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c Jia Tan, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 2022 \u0433\u043e\u0434\u0443 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u0442\u0430\u0442\u0443\u0441 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u043b \u0440\u0435\u043b\u0438\u0437\u044b \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0432\u0435\u0440\u0441\u0438\u0438 5.4.2. \u041f\u043e\u043c\u0438\u043c\u043e \u043f\u0440\u043e\u0435\u043a\u0442\u0430 xz \u043f\u0440\u0435\u0434\u043f\u043e\u043b\u0430\u0433\u0430\u0435\u043c\u044b\u0439 \u0430\u0432\u0442\u043e\u0440 \u0431\u044d\u043a\u0434\u043e\u0440\u0430 \u0442\u0430\u043a\u0436\u0435 \u0443\u0447\u0430\u0441\u0442\u0432\u043e\u0432\u0430\u043b \u0432 \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 xz-java \u0438 xz-embedded, \u0438 \u0431\u044b\u043b \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u0432 \u0447\u0438\u0441\u043b\u043e \u043c\u044d\u0439\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 XZ Embedded, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u0433\u043e \u0432 \u044f\u0434\u0440\u0435 Linux. \u0412 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u043f\u0440\u043e\u0434\u0432\u0438\u0436\u0435\u043d\u0438\u044f \u0431\u044d\u043a\u0434\u043e\u0440\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-114665","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Retrospektywa wprowadzenia backdoora do pakietu xz | ProHoster","description":"Prawdopodobnie backdoor zosta\u0142 wprowadzony do pakietu xz przez dewelopera Jia Tan, kt\u00f3ry w 2022 roku uzyska\u0142 status opiekuna i wydawa\u0142 wersje od wersji 5.4.2.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/retrospektiva-prodvizheniya-bekdora-v-paket-xz","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0420\u0435\u0442\u0440\u043e\u0441\u043f\u0435\u043a\u0442\u0438\u0432\u0430 \u043f\u0440\u043e\u0434\u0432\u0438\u0436\u0435\u043d\u0438\u044f \u0431\u044d\u043a\u0434\u043e\u0440\u0430 \u0432 \u043f\u0430\u043a\u0435\u0442 xz | ProHoster","og:description":"\u041f\u0440\u0435\u0434\u043f\u043e\u043b\u043e\u0436\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0431\u044d\u043a\u0434\u043e\u0440 \u0432 \u043f\u0430\u043a\u0435\u0442 xz \u0431\u044b\u043b \u0432\u043d\u0435\u0434\u0440\u0451\u043d \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u043e\u043c Jia Tan, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0432 2022 \u0433\u043e\u0434\u0443 \u043f\u043e\u043b\u0443\u0447\u0438\u043b \u0441\u0442\u0430\u0442\u0443\u0441 \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0435\u0433\u043e \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u043b \u0440\u0435\u043b\u0438\u0437\u044b \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u0432\u0435\u0440\u0441\u0438\u0438 5.4.2.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/retrospektiva-prodvizheniya-bekdora-v-paket-xz","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-03-30T10:25:45+00:00","article:modified_time":"2024-03-30T10:25:45+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/114665","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=114665"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/114665\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=114665"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=114665"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=114665"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"