O desenvolvedor Debian e pesquisador em segurança da informação Andres Freund relata a descoberta de um provável backdoor no código fonte do xz versões 5.6.0 e 5.6.1.
O backdoor é uma linha em um dos scripts m4, que insere um código malicioso ofuscado no final do script configure. Esse código, então, modifica um dos Makefiles gerados do projeto, o que, por fim, resulta na inclusão de código malicioso (mascarado como o arquivo de teste bad-3-corrupt_lzma2.xz) no arquivo binário liblzma.
A particularidade do incidente é que o código malicioso está contido apenas nos arquivos tar distribuídos com o código fonte e não está presente no repositório git do projeto.
Relata-se que a pessoa sob a qual o código malicioso foi adicionado ao repositório do projeto está ou diretamente envolvida no ocorrido ou foi vítima de um comprometimento sério de suas contas pessoais (mas o pesquisador tende a acreditar na primeira opção, pois essa pessoa participou pessoalmente de várias discussões relacionadas às alterações maliciosas).
No link, o pesquisador observa que, ao final, o objetivo do backdoor, aparentemente, é injetar código no processo sshd e substituir o código de verificação das chaves RSA, e fornece várias maneiras de indiretamente verificar se o código malicioso está sendo executado em seu sistema no momento.
De acordo com a matéria do projeto openSUSE, devido à complexidade do código do backdoor e ao mecanismo suposto de sua exploração, é difícil determinar se ele foi ‘ativado’ em alguma vez nesta máquina, e recomenda uma reinstalação completa do sistema operacional com a rotação de todas as chaves relevantes em todas as máquinas nas quais versões infectadas do xz estiveram presentes em algum momento.
Fonte: linux.org.ru
