Lasse Collin, ish-mbështetësi i projektit xz, që në vitin 2022 i kaloi të drejtën mbështetësit të ri Jia Tan, veprimtaria e të cilit çoi në implementimin e një backdoor, publikoi versione korrigjuese të paketës XZ Utils 5.2.13, 5.4.7 dhe 5.6.2, në të cilat janë fshirë komponentët e backdoor dhe ndryshimet e tjera të dyshimta, të shtuar si rezultat i aktivitetit të dëmshëm të mbështetësit të kaluar.
Për më tepër, është publikuar një raport mbi rishikimin e depozitës Git dhe ndryshimet e bëra që nga dhjetori 2022 gjatë kohës që Jia Tan ishte mbështetësi. Ndryshimet janë analizuar në nivelin e komiteve të veçanta. Komitetet në depozita nuk ishin nënshkruar me një nënshkrim digjital, por nuk ka pasur prova të falsifikimit nga ana e komitëve. Në total, janë fshirë 8 komitete të dëmshme nga depozita.
Kodi CRC CLMUL ende nuk është fshirë nga baza e kodit, i cili shkakton falsifikime gjatë kontrollit në MSAN (Memory sanitizer) dhe probleme me OSS Fuzz. Në të ardhmen, ky kod planifikohet të rishikohet, por për momentin është vendosur të mos preket, në mënyrë që të shmangen regresionet në degët e vjetra. Nuk janë zbuluar ndryshime të dyshimta në komitetet e vjetra, të shtuar para ndryshimeve që lidhen me promovimin e backdoor. Përveç kësaj, janë kontrolluar veçmas skedarët po të lokalizimit, metadatate në skedarët tar dhe arkivat me lëshimet dhe përkthimet.
Nga ndryshimet gjithashtu pĂ«rmendet pĂ«rfshirja e pĂ«rmirĂ«simeve tĂ« grumbulluara tĂ« gabimeve dhe fshirja e mbĂ«shtetjes pĂ«r mekanizmin IFUNC, i ofruar nĂ« Glibc pĂ«r thirrje indirekte tĂ« funksioneve, i cili ishte pĂ«rdorur pĂ«r organizimin e kapjes sĂ« funksioneve nĂ« backdoor. ĂshtĂ« theksuar se pĂ«rdorimi i IFUNC vetĂ«m sa e komplikon kodin, ndĂ«rsa pĂ«rfitimi nĂ« performancĂ« nga ai nuk Ă«shtĂ« i rĂ«ndĂ«sishĂ«m. Si masĂ« paraprake, nga paketa me kod burimor janĂ« fshirĂ« gjithashtu logot XZ, versionet PDF tĂ« faqeve man dhe dy teste pĂ«r arkitekturĂ«n x86 dhe SPARC, nĂ« tĂ« cilat si input pĂ«rpunoheshin skedarĂ« objekt.
Mes novitetĂ«ve, nĂ« dekoduesin xzdec Ă«shtĂ« shtuar mbĂ«shtetje pĂ«r versionin 4 tĂ« ABI tĂ« mekanizmit tĂ« izolimit tĂ« aplikacioneve Landlock. NĂ« skema tĂ« ndĂ«rtimit tĂ« Autotools Ă«shtĂ« shtuar opsioni "âenable-doxygen", dhe nĂ« skenarin Cmake parameteri ENABLE_DOXYGEN pĂ«r gjenerimin dhe instalimin e dokumentacionit pĂ«r API liblzma, duke pĂ«rdorur Doxygen. Dokumentacioni i gjeneruar tashmĂ« Ă«shtĂ« fshirĂ« nga paketa.
Burimi: opennet.ru
