I xz/liblzma har skadlig kod identifierats som syftar till att erhålla obehörig fjärråtkomst via SSH (bakdörr) och att utföra kommandon (CVE-2024-3094). Den skadliga koden har införlivats i versionerna 5.6.0 och 5.6.1 och har, enligt OpenNet, lyckats nå byggnader och förvar såsom Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide/40-beta, openSUSE factory/tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, MSYS2 mingw, HP-UX, Homebrew, KaOS, NixOS unstable, OpenIndiana, Parabola, PCLinuxOS, OpenMandriva cooker och rolling, pkgsrc current, Slackware current, Manjaro, Void Linux. Dock kan bakdörren inte aktiveras överallt. Situationen försvåras av det faktum att den misstänkte utvecklaren under de senaste åren har deltagit i relaterade samhällsprojekt. Därför finns det ingen grund för att lita på koden i xz före klargörandet av alla detaljer och konsekvenser av händelsen. Specifikt har det relevanta förvaret på GitHub redan blockerats med meddelandet: "Åtkomsten till detta förvar har blockerats av GitHub-anställda på grund av brott mot GitHubs tjänstevillkor."
Källa: 3dnews.ru
