Lasse Collin, vechiul menținător al proiectului xz, a transferat în 2022 drepturile noului menținător Jia Tan, a cărui activitate a dus la introducerea backdoor-ului. Acesta a publicat versiuni corective ale pachetului XZ Utils 5.2.13, 5.4.7 și 5.6.2, în care au fost eliminate componentele backdoor-ului și alte modificări suspecte adăugate în urma activităților rău intenționate ale fostului menținător.
De asemenea, a fost publicat un raport de revizuire a depozitului Git și a modificărilor adăugate din decembrie 2022, în perioada în care Jia Tan a fost menținător. Modificările au fost analizate la nivel de comentariu individual. Comentariile din depozit nu au fost semnate digital, dar nu au fost descoperite dovezi de falsificare din partea contribuitorilor. În total, 8 comentarii rău intenționate au fost eliminate din depozit.
Codul CRC CLMUL nu a fost încă eliminat din baza de cod, ceea ce duce la declanșări false în timpul verificării în MSAN (Memory sanitizer) și la probleme cu OSS Fuzz. În continuare, acest cod este planificat să fie refăcut, dar deocamdată a fost decis să nu fie atins, pentru a evita regresiile în ramurile vechi. Nu au fost descoperite modificări suspecte în comentariile vechi, adăugate înainte de implementarea modificărilor legate de backdoor. Fișierele po de localizare, metadatele din fișierele tar și arhivele cu versiuni și traduceri au fost verificate separat.
Printre modificări se numără includerea corecțiilor de erori acumulate și eliminarea suportului pentru mecanismul IFUNC, oferit de Glibc pentru apelarea indirectă a funcțiilor, care a fost folosit pentru interceptarea funcțiilor în backdoor. S-a observat că utilizarea IFUNC doar complică codul, iar câștigul de performanță din acesta nu este semnificativ. Ca măsură de precauție, din pachetul cu cod sursă au fost eliminate, de asemenea, logo-ul XZ, versiunile PDF ale paginilor man și două teste pentru arhitecturile x86 și SPARC, în care erau procesate fișiere obiect ca date de intrare.
Printre noutăți, decodorul xzdec a adăugat suport pentru versiunea 4 ABI a mecanismului de izolare a aplicațiilor Landlock. Scripturile de construire Autotools au fost extinse cu opțiunea „—enable-doxygen”, iar în scriptul Cmake parametrul ENABLE_DOXYGEN pentru generarea și instalarea documentației API liblzma utilizând Doxygen. Documentația deja generată a fost eliminată din pachet.
Sursa: opennet.ro
