Lasse Collin, ish-ndihmës i projektit xz, i cili në vitin 2022 i kaloi të drejtat një ndihmësi të ri, Jia Tan, aktiviteti i të cilit çoi në implementimin e një backdoor, publikoi versionet korrigjuese të paketës XZ Utils 5.2.13, 5.4.7 dhe 5.6.2, në të cilat u hoqën komponentët e backdoor dhe ndryshime të dyshimta të tjera të shtuara si rezultat i veprimeve të dëmshme të ish-ndihmësit.
Për më tepër, u publikua një raport i rishikimit të depozitës Git dhe ndryshimeve të bëra që nga dhjetori 2022 gjatë kohës që Jia Tan ishte ndihmës. Ndryshimet u analizuan në nivelin e komiteve të veçanta. Komitetet në depozitë nuk ishin të nënshkruara me një nënshkrim digjital, por nuk u gjetën prova falsifikimi nga ana e komituesve. Në total, nga depozita u hoqën 8 komitete të dëmshme.
Derisa kodi CRC CLMUL nuk është ende hequr nga biblioteka, ai çon në njoftime të falsifikuara gjatë verifikimit në MSAN (Memory sanitizer) dhe probleme me OSS Fuzz. Në të ardhmen, ky kod planifikohet të rishikohet, por për momentin është vendosur të mos prekët, për të shmangur regresionet në degët e vjetra. Nuk u gjetën ndryshime të dyshimta në komitetet e vjetra, të shtuara para ndryshimeve që lidhen me promovimin e backdoor. Posacërisht u kontrolluan skedarët po të lokalizimit, metadatave në skedarët tar dhe arkivat me versione dhe përkthime.
Nga ndryshimet gjithashtu vihet re përfshirja e grumbullit të rregullimeve të gabimeve dhe heqja e mbështetjes për mekanizmin IFUNC, i cili ofrohej në Glibc për thirrjen indirekte të funksioneve, i cili ishte përdorur për organizimin e kapjes së funksioneve në backdoor. U vu re se përdorimi i IFUNC thjesht e komplikon kodin, dhe përfitimi në performancë nga ai nuk është domethënës. Si një masë sigurie, nga paketa me kodet burimore u hoqën gjithashtu logoja XZ, versionet PDF të man-pages dhe dy teste për arkitekturën x86 dhe SPARC, në të cilat si të dhëna hyrëse u përpunuan skedarë objekt.
Nga novitetet në dekoduesin xzdec u shtua mbështetje për versionin 4 të mekanizmit të izolimit të aplikacioneve Landlock. U shtua opsioni "--enable-doxygen" në skriptet ndërtuese Autotools, dhe në skriptin Cmake parametri ENABLE_DOXYGEN për gjenerimin dhe instalimin e dokumentacionit të API liblzma, duke përdorur Doxygen. Dokumentacioni i gjeneruar tashmë është hequr nga paketa.
Burimi: opennet.ru
