{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Actualizarea XZ Utils 5.8.1 cu patch-uri pentru vulnerabilitate","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A ap\u0103rut versiunea pachetului XZ Utils 5.8.1, care include biblioteca liblzma \u0219i utilitare pentru lucrul cu date comprimate \u00een format . XZ Utils 5.8.1 a devenit prima lansare semnificativ\u0103 dup\u0103 incidentul \u00een care a fost detectat un backdoor care permitea accesul prin sshd. S\u0103pt\u0103m\u00e2na trecut\u0103, \u00een Git a fost creat un tag 5.8.0, dar lansarea nu a fost anun\u021bat\u0103 oficial din cauza problemelor de performan\u021b\u0103 \u0219i compatibilitate cu versiunile mai vechi ale GNU make, descoperite dup\u0103 publicarea tag-ului. <\/p>\n
\u00cen actualizarea XZ Utils 5.8.1 a fost corectat\u0103 o vulnerabilitate (CVE-2025-31115) care ducea la \u00eenchiderea nea\u0219teptat\u0103 a programului atunci c\u00e2nd se \u00eencerca decomprimarea unor arhive special create. Vulnerabilitatea a fost cauzat\u0103 de accesarea unei zone de memorie deja eliberate (use after free). Atacatorul poate ob\u021bine scrierea valorii sale la o adres\u0103 calculat\u0103 ca . Problema este considerat\u0103 o eroare neinten\u021bionat\u0103, deoarece modificarea care a cauzat-o a fost f\u0103cut\u0103 \u00een cod cu mult \u00eenainte ca dezvoltatorul Jia Tan s\u0103 se al\u0103ture proiectului, al c\u0103rui activitate a dus la implementarea backdoor-ului. <\/p>\n
Problema apare \u00eencep\u00e2nd cu lansarea XZ Utils 5.3.3alpha la decodarea \u00een mod multithread (un decoder single-thread nu este afectat de problem\u0103). Pe l\u00e2ng\u0103 utilitarele standard din pachetul xz, vulnerabilitatea se manifest\u0103 \u0219i \u00een programele ter\u021be care folosesc func\u021bia lzma_stream_decoder_mt din biblioteca liblzma. Vulnerabilitatea a fost corectat\u0103 \u00een lansarea XZ Utils 5.8.1 \u0219i, de asemenea, a fost transferat\u0103 \u00een ramurile stabile 5.4 \u0219i 5.6. Actualiz\u0103rile pentru distribuitori pot fi urm\u0103rite pe urm\u0103toarele pagini: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Ca solu\u021bie temporar\u0103 de protec\u021bie, se poate dezactiva decodarea fi\u0219ierelor \u00een mod multithread folosind op\u021biunile la lansarea xz sau aplic\u00e2nd utilitarul xzdec. <\/p>\n
Dintre modific\u0103rile func\u021bionale din ramura XZ Utils 5.8 se pot men\u021biona: <\/p>\n
\n
\u00cen decodificatorul LZMA\/LZMA2 a fost ad\u0103ugat\u0103 posibilitatea de a utiliza instruc\u021biuni SSE2 \u00een locul func\u021biei memcpy() pe sisteme x86 de 32 \u0219i 64 de bi\u021bi. Aceast\u0103 modificare a permis reducerea timpului de decodare cu p\u00e2n\u0103 la 5% \u00een timpul compil\u0103rii cu Glibc \u0219i cu p\u00e2n\u0103 la 15% \u00een timpul compil\u0103rii cu musl la decompresia fi\u0219ierelor cu un nivel foarte ridicat de compresie.\n
\u00cen liblzma a fost crescut\u0103 viteza de codare pe sisteme PowerPC \u0219i RISC-V de 64 de bi\u021bi.\n
\u00cen lzma\/bcj.h a fost ad\u0103ugat un API de nivel sc\u0103zut pentru filtrele BCJ (Branch\/Call\/Jump) pentru sistemele RISC-V, ARM64 \u0219i x86.\n
Codul pentru calcularea CLMUL CRC pentru sistemele x86, x86-64 \u0219i E2K a fost rescris.\n
Pe platformele cu procesoare LoongArch sunt utilizate instruc\u021biuni pentru accelerarea calcul\u0103rii sumelor de control CRC32.\n
\u00cen utilitarul a fost asigurat\u0103 apelarea func\u021biei fsync() pentru a elimina cache-urile de fi\u0219iere pentru fi\u0219ierul rezultat \u00eenainte de \u0219tergerea fi\u0219ierului surs\u0103. Pentru a dezactiva sincronizarea \u00eenainte de \u0219tergere, a fost implementat\u0103 op\u021biunea .\n
\u00cen utilitarele xz, xzdec \u0219i lzmainfo, la afi\u0219area informa\u021biilor pe ecran, caracterele neimprimabile sunt \u00eenlocuite cu semnul \u00eentreb\u0103rii.\n
\u00cen xz \u0219i xzdec pe platforma Linux, pentru izolarea procesului a fost implementat suportul pentru versiunile 5 \u0219i 6 ale mecanismului Landlock.\n
A fost ad\u0103ugat un script pentru verificarea licen\u021belor build-aux\/license-check.sh.\n
Scripturile lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep \u0219i lzfgrep, implementate ca extensii ale utilitarului xz, au fost declarate \u00eenvechite. <\/ul>\n