{"id":116209,"date":"2024-05-30T15:40:12","date_gmt":"2024-05-30T13:40:12","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora"},"modified":"2024-05-30T15:40:12","modified_gmt":"2024-05-30T13:40:12","slug":"proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/proekt-xz-opublikoval-rezultat-audita-kommitov-i-pervoe-obnovlenie-posle-vyyavleniya-bekdora","title":{"rendered":"O projeto XZ publicou os resultados da auditoria de commits e a primeira atualiza\u00e7\u00e3o ap\u00f3s a identifica\u00e7\u00e3o de um backdoor.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Lasse Collin, o antigo mantenedor do projeto xz, transferiu os direitos para o novo mantenedor Jia Tan em 2022. A atividade de Jia Tan resultou na introdu\u00e7\u00e3o de um backdoor. Ele publicou vers\u00f5es corrigidas do pacote XZ Utils 5.2.13, 5.4.7 e 5.6.2, nas quais os componentes do backdoor e outras altera\u00e7\u00f5es suspeitas adicionadas devido \u00e0 conduta maliciosa do antigo mantenedor foram removidos. <\/p>\n
Al\u00e9m disso, foi publicado um relat\u00f3rio sobre a revis\u00e3o do reposit\u00f3rio Git e das altera\u00e7\u00f5es feitas desde dezembro de 2022, durante o per\u00edodo em que Jia Tan foi o mantenedor. As altera\u00e7\u00f5es foram desmembradas at\u00e9 o n\u00edvel de commits individuais. Os commits no reposit\u00f3rio n\u00e3o foram assinados digitalmente, mas n\u00e3o foram encontradas evid\u00eancias de falsifica\u00e7\u00e3o por parte dos committers. No total, 8 commits maliciosos foram removidos do reposit\u00f3rio. <\/p>\n
O c\u00f3digo CRC CLMUL ainda n\u00e3o foi removido da base de c\u00f3digo, o que causa falsos positivos durante a verifica\u00e7\u00e3o no MSAN (Memory sanitizer) e problemas com o OSS Fuzz. Futuramente, esse c\u00f3digo est\u00e1 planejado para ser refeito, mas por ora decidiu-se n\u00e3o mexer nele para evitar regress\u00f5es em branches antigas. Nenhuma altera\u00e7\u00e3o suspeita foi encontrada em commits antigos, adicionados antes das modifica\u00e7\u00f5es relacionadas \u00e0 promo\u00e7\u00e3o do backdoor. Os arquivos .po de localiza\u00e7\u00e3o, os metadados em arquivos tar e os arquivos com releases e tradu\u00e7\u00f5es foram verificados separadamente. <\/p>\n
As mudan\u00e7as tamb\u00e9m incluem a incorpora\u00e7\u00e3o de corre\u00e7\u00f5es de bugs acumuladas e a remo\u00e7\u00e3o do suporte ao mecanismo IFUNC, fornecido no Glibc para chamada indireta de fun\u00e7\u00f5es, que foi utilizado para a organiza\u00e7\u00e3o de intercepta\u00e7\u00e3o de fun\u00e7\u00f5es no backdoor. Foi observado que o uso do IFUNC apenas complica o c\u00f3digo, sendo que o ganho de desempenho com isso \u00e9 insignificante. Como precau\u00e7\u00e3o, o pacote com o c\u00f3digo-fonte tamb\u00e9m teve o logo XZ, vers\u00f5es PDF das p\u00e1ginas man e dois testes para as arquiteturas x86 e SPARC removidos, em que arquivos objeto eram processados como dados de entrada. <\/p>\n
Entre as novidades, o decodificador xzdec agora suporta a vers\u00e3o 4 da ABI do mecanismo de isolamento de aplicativos Landlock. Nos scripts de compila\u00e7\u00e3o Autotools, foi adicionada a op\u00e7\u00e3o «—enable-doxygen», e no script CMake, o par\u00e2metro ENABLE_DOXYGEN para gerar e instalar a documenta\u00e7\u00e3o da API liblzma, utilizando Doxygen. A documenta\u00e7\u00e3o j\u00e1 gerada foi removida do pacote. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"