Mendohet se backdoor-i në paketën xz është futur nga zhvilluesi Jia Tan, i cili në vitin 2022 mori statusin e mbështetësit dhe filloi të lëshojë versione nga versioni 5.4.2. Përveç projektit xz, autori i supozuar i backdoor-it gjithashtu ka marrë pjesë në zhvillimin e paketave xz-java dhe xz-embedded dhe është përfshirë në radhët e mbështetësve të projektit XZ Embedded, i cili përdoret në bërthamën e Linux.
NĂ« organizimin e promovimit tĂ« backdoor-it janĂ« vĂ«nĂ« re edhe dy pjesĂ«marrĂ«s tĂ« tjerĂ« â Jigar Kumar dhe Hans Jansen, tĂ« cilĂ«t, pĂ«r sa duket, janĂ« personazhe virtuale. Jigar Kumar nĂ« prill 2022 ndihmoi pranim-in e patch-eve tĂ« hershme tĂ« Jia Tan nĂ« xz me realizimin e mbĂ«shtetjes pĂ«r filtre string dhe ushtroi presion moral mbi Lasse Collin, atĂ«herĂ« mbĂ«shtetĂ«sin, duke kritikuar se ai nuk ishte nĂ« gjendje tĂ« pĂ«rmbushte detyrat e tij dhe nuk pranonte patch-e tĂ« dobishme. NĂ« qershor, Lasse Collin pranoi se projekti kishte nevojĂ« pĂ«r njĂ« mbĂ«shtetĂ«s tĂ« ri, u ankuar pĂ«r shterimin dhe problemet me shĂ«ndetin mendor, dhe ia kaloi tĂ« drejtat e mbĂ«shtetĂ«sit Jia Tan. Pas kĂ«saj, pĂ«rdoruesi Jigar Kumar nuk u shfaq mĂ« nĂ« listĂ«n e dĂ«rgimit.
Pasja e Jia Tan për zhvillimin e softuerit, e cila u rrit pas marrjes së të drejtave si mëtë, e çoi atë të bëjë shumë ndryshime në projekt, duke arritur vendin e dytë në renditjen e zhvilluesve për numrin e ndryshimeve brenda dy viteve. Në mars 2023, përgjegjësia për testimin e paketës xz në shërbimin oss-fuzz u transferua nga Lasse Collin te Jia Tan, dhe në qershor, ndryshimet që shtuan mbështetje për mekanizmin IFUNC në liblzma (konstruktori crc64_fast u zëvendësua me ifunc), i cili më vonë u përdor për organizimin e kapjeve të funksioneve në backdoor, u pranuan në xz. Ky ndryshim u propozuar nga Hans Jansen dhe Jia Tan e pranoi në përbërjen e xz. Llogaria e Hans Jansen u krijua menjëherë para dërgimit të kërkesës për tërheqje.
Në korrik 2023, Jia Tan dërgoi një kërkesë për ndalim të verifikimit ifunc tek zhvilluesit e oss-fuzz për shkak të moskompatibilitetit të tij me modin "-fsanitize=address". Në fillim të shkurtit 2024, lidhja për faqen e projektit në oss-fuzz dhe në faqen kryesore tukaani.org u ndryshua nga "tukaani.org/xz/" në "xz.tukaani.org", ku subdomeni "xz.tukaani.org" u vendos në shërbimin GitHub Pages dhe kontrollohej personalisht nga Jia Tan. Më 23 shkurt, në depozitat xz u publikuan arkiva për testimin e funksionit të dekoderit, midis të cilave ishin skedarët bad-3-corrupt_lzma2.xz dhe good-large_compressed.lzma me një backdoor të fshehur. Makros M4 për aktivizimin e backdoor-it ishin përfshirë vetëm në arkivin tar me versionin 5.6.0 dhe ishin përjashtuar nga depozitimi Git, por dolën në pah në skedarin .gitignore.
Më 17 mars, Hans Jansen, i cili kishte zhvilluar më parë patches me mbështetje për IFUNC, u regjistrua si pjesëtar i projektit Debian, dhe më 25 mars ai dërgoi një kërkesë për përditësimin e versionit të paketës xz-utils në depozitimin Debian. Kërkesat për përditësim versioni gjithashtu iu dërguan zhvilluesve të Fedora dhe Ubuntu (në Ubuntu depozita ishte në fazën e ngrirjes dhe ndryshimi u refuzua).
Disa i bashkangjitur kërkesave për të përditësuar versionin xz, disa përdorues kanë raportuar se në versionin e ri janë eliminuar gabimet që pengonin punën, të identifikuara gjatë rregullimit në valgrind (problemet ndodhnin për shkak të përcaktimit të papërshtatshëm të disponimit të stack në trajtuesin e backdoor dhe këto probleme zhvilluesit e backdoor përpiqen t'i zgjidhin në versionin xz 5.6.1). Për këtë çështje është interesuar edhe Andres Freund, një punonjës i Microsoft, i përfshirë në zhvillimin e PostgreSQL, i cili ka identifikuar praninë e backdoor dhe e ka njoftuar këtë komunitet.
Burimi: opennet.ru
