Lasse Collin, den gamla projektledaren för xz som 2022 överlämnade rättigheterna till den nya projektledaren Jia Tan, vars aktiviteter ledde till införandet av en bakdörr, publicerade korrigerande versioner av paketet XZ Utils 5.2.13, 5.4.7 och 5.6.2, där komponenter av bakdörren och andra misstänkta ändringar som lagts till genom tidigare skadlig verksamhet har tagits bort.
Dessutom har en rapport om granskningen av Git-repositoriet och de ändringar som lagts till sedan december 2022 under Jia Tans tid som projektledare publicerats. Ändringarna har analyserats på nivån för enskilda commit. Commit i repositoriet var inte signerade med en digital signatur, men inga bevis på förfalskning från committernas sida har påträffats. Totalt har 8 skadliga commits tagits bort från repositoriet.
Koden för CRC CLMUL har ännu inte tagits bort från kodbasen, vilket leder till falska positiva vid verifiering i MSAN (Memory sanitizer) och problem med OSS Fuzz. Framöver planeras det att denna kod ska omarbetas, men för tillfället har man beslutat att inte röra den för att undvika regressioner i gamla grenar. Inga misstänkta ändringar har påträffats i gamla commits som lades till före införandet av ändringarna relaterade till bakdörren. Separat har po-filer för lokalisering, metadata i tar-filer samt arkiv med releaser och översättningar granskats.
Ändringar inkluderar också införandet av ansamlingar av buggfixar och borttagning av stödet för IFUNC-mekanismen, som tillhandahålls i Glibc för indirekt funktionsanrop, vilket har använts för att organisera funktionstillslag i bakdörren. Det har noterats att användningen av IFUNC bara komplicerar koden och att prestandafördelarna från den är obetydliga. Som en försiktighetsåtgärd har även logotypen XZ, PDF-versioner av man-sidor och två tester för arkitektur x86 och SPARC tagits bort från paketet med källkoden, där objektfiler behandlades som inmatning.
Bland nyheterna i dekodern xzdec har stöd för den fjärde versionen av ABI för applikationsisolationsmekanismen Landlock lagts till. I byggskrifterna för Autotools har alternativet "--enable-doxygen" lagts till, och i Cmake-skriptet parametern ENABLE_DOXYGEN för att generera och installera dokumentation för API liblzma med hjälp av Doxygen. Redan genererad dokumentation har tagits bort från paketet.
Källa: opennet.ru
