Programatori i Debian dhe hulumtuesi në fushën e sigurisë informacionit, Andres Freund, njofton për zbulimin e një bllokimi të mundshëm në kodin burimor të xz versioneve 5.6.0 dhe 5.6.1.
Bllokimi përbën një rresht në një nga skiptet m4, i cili shton kod të keq të obfuskuar në fund të skriptit configure. Ky kod më pas modifikon një nga Makefile-t e gjeneruara të projektit, e cila përfundimisht çon në përfshirjen e kodit të keq (i maskuar si një arkiv testues bad-3-corrupt_lzma2.xz) në skedarin binar liblzma.
Veçoria e incidentit qëndron në faktin se kodi i keq ndodhet vetëm në arkivat tar që shpërndahen me kodin burimor dhe nuk është i pranishëm në depozitat git të projektit.
Raportohet se personi nën emrin e të cilit u shtua kodi i keq në depozitat e projektit, është ose i përfshirë drejtpërdrejt në ngjarje, ose ka qenë viktimë e një kompromisi serioz të llogarive të tij personale (por hulumtuesi është më shumë në favor të opsionit të parë, sepse ky person ka marrë pjesë personalisht në disa diskutime lidhur me ndryshimet e dëmshme).
Në lidhje me këtë, hulumtuesi thekson se qëllimi përfundimtar i bllokimit, duket se është injektimi i kodit në procesin sshd dhe ndryshimi i kodit për verifikimin e çelësave RSA, duke dhënë disa mënyra për të verifikuar indirekt nëse kodi i keq po ekzekutohet në sistemin tuaj aktualisht.
Sipas një artikulli lajmesh projekti openSUSE, për shkak të kompleksitetit të kodit të bllokimit dhe mekanizmit të supozuar të shfrytëzimit të tij, është e vështirë të përcaktohet nëse ka "funksionuar" ndonjëherë në këtë makinë, dhe rekomandon një riparim të plotë të OS me rotacion të të gjithë çelësave relevantë në të gjitha makinat ku ka qenë ndonjëherë versionet e infektuara xz.
Burimi: linux.org.ru
