{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Aktualizacja XZ Utils 5.8.1 z rozwi\u0105zaniem problemu z bezpiecze\u0144stwem","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Opublikowano wersj\u0119 pakietu XZ Utils 5.8.1, kt\u00f3ra zawiera bibliotek\u0119 liblzma oraz narz\u0119dzia do pracy z danymi skompresowanymi w formacie \".xz\". XZ Utils 5.8.1 jest pierwszym znacz\u0105cym wydaniem po odkryciu incydentu zwi\u0105zanego z wprowadzeniem backdoora umo\u017cliwiaj\u0105cego dost\u0119p przez sshd. W zesz\u0142ym tygodniu w Git utworzono znacznik 5.8.0, jednak wydanie nie zosta\u0142o oficjalnie og\u0142oszone z powodu problem\u00f3w z wydajno\u015bci\u0105 i kompatybilno\u015bci\u0105 ze starszymi wersjami GNU make, kt\u00f3re wykryto po publikacji znacznika. <\/p>\n
W aktualizacji XZ Utils 5.8.1 naprawiono luk\u0119 (CVE-2025-31115), kt\u00f3ra prowadzi\u0142a do awaryjnego zako\u0144czenia pracy podczas pr\u00f3by wypakowywania specjalnie przygotowanych archiw\u00f3w. Luka ta by\u0142a spowodowana dost\u0119pem do ju\u017c zwolnionej pami\u0119ci (use after free). Atakuj\u0105cy m\u00f3g\u0142 zapisa\u0107 swoj\u0105 warto\u015b\u0107 pod adresem obliczanym jako \"wska\u017anik zerowy + przesuni\u0119cie\". Problem jest traktowany jako b\u0142\u0105d niezamierzony, poniewa\u017c zmiana, kt\u00f3ra go spowodowa\u0142a, zosta\u0142a wprowadzona do kodu d\u0142ugo przed przybyciem do projektu dewelopera Jia Tan, kt\u00f3rego dzia\u0142alno\u015b\u0107 doprowadzi\u0142a do wprowadzenia backdoora. <\/p>\n
Problem wyst\u0119puje od momentu wydania XZ Utils 5.3.3alpha podczas dekodowania w trybie wielow\u0105tkowym (problem nie dotyczy jednordzeniowych dekoder\u00f3w). Opr\u00f3cz standardowych narz\u0119dzi z pakietu xz, luka ta wyst\u0119puje tak\u017ce w zewn\u0119trznych programach, kt\u00f3re u\u017cywaj\u0105 funkcji lzma_stream_decoder_mt z biblioteki liblzma. Luka ta zosta\u0142a naprawiona w wersji XZ Utils 5.8.1 i przeniesiona do stabilnych ga\u0142\u0119zi 5.4 i 5.6. Mo\u017cna \u015bledzi\u0107 pojawianie si\u0119 aktualizacji w dystrybucjach na nast\u0119puj\u0105cych stronach: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Jako spos\u00f3b obej\u015bcia ochrony mo\u017cna wy\u0142\u0105czy\u0107 dekodowanie plik\u00f3w w trybie wielow\u0105tkowym, u\u017cywaj\u0105c przy uruchamianiu xz opcji \"--decompress --threads=1\" lub aplikuj\u0105c narz\u0119dzie xzdec. <\/p>\n
W\u015br\u00f3d zmian funkcjonalnych w ga\u0142\u0119zi XZ Utils 5.8 mo\u017cna zauwa\u017cy\u0107: <\/p>\n
\n
Do dekodera LZMA\/LZMA2 dodano mo\u017cliwo\u015b\u0107 wykorzystania instrukcji SSE2 zamiast funkcji memcpy() w systemach 32- i 64-bitowych x86. Zmiana ta pozwoli\u0142a na skr\u00f3cenie czasu dekodowania o 5% przy kompilacji z Glibc i o 15% przy kompilacji z musl przy rozpakowywaniu plik\u00f3w o bardzo wysokim poziomie kompresji.\n
W liblzma zwi\u0119kszono szybko\u015b\u0107 kodowania w 64-bitowych systemach PowerPC i RISC-V.\n
W lzma\/bcj.h dodano niskopoziomowe API filtr\u00f3w BCJ (Branch\/Call\/Jump) dla system\u00f3w RISC-V, ARM64 i x86.\n
Przepisano kod obliczania CLMUL CRC dla system\u00f3w x86, x86-64 i E2K.\n
Na platformach z procesorami LoongArch wykorzystano instrukcje do przyspieszenia oblicze\u0144 sum kontrolnych CRC32.\n
W narz\u0119dziu \"xz\" dodano wywo\u0142anie funkcji fsync() w celu opr\u00f3\u017cnienia pami\u0119ci podr\u0119cznej plik\u00f3w dla wynikowego pliku przed usuni\u0119ciem oryginalnego pliku. W celu wy\u0142\u0105czenia synchronizacji przed usuni\u0119ciem wprowadzono opcj\u0119 \"--no-sync\".\n
W narz\u0119dziach xz, xzdec i lzmainfo przy wy\u015bwietlaniu informacji na ekranie zapewniono zamian\u0119 nieczytelnych znak\u00f3w na znak zapytania.\n
W xz i xzdec na platformie Linux wprowadzono wsparcie dla wersji 5 i 6 mechanizmu Landlock w celu izolacji procesu.\n
Dodano skrypt do sprawdzania licencji build-aux\/license-check.sh.\n
Og\u0142oszono za przestarza\u0142e skrypty lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep i lzfgrep, zrealizowane jako nadbudowy nad narz\u0119dziem xz. <\/ul>\n