Debian-utvecklaren och säkerhetsforskaren Andres Freund rapporterar om upptäckten av en sannolik bakdörr i källkoden för xz versionerna 5.6.0 och 5.6.1.
Bakdörren är en rad i ett av m4-skripten, som skriver in obfuskerad skadlig kod i slutet av configure-skriptet. Denna kod modifierar sedan en av de genererade Makefile-filerna för projektet, vilket i slutändan leder till att skadlig kod (maskerad som testarkivet bad-3-corrupt_lzma2.xz) hamnar i binärfilen liblzma.
Det som är särskilt med händelsen är att den skadliga koden finns bara i de distribuerade tar-arkiven med källkoden och inte finns i projektets git-repository.
Det rapporteras att personen under vars namn den skadliga koden lades till i projektets repository antingen är direkt inblandad i händelsen eller har blivit offer för en allvarlig kompromiss av sina personliga konton (men forskaren lutar åt den första optionen, eftersom denna person personligen har deltagit i flera diskussioner relaterade till de skadliga förändringarna).
I sin länk påpekar forskaren att syftet med bakdörren troligtvis är att injicera kod i sshd-processen och manipulera RSA-nyckelverifieringskoden, och ger flera sätt att indirekt kontrollera huruvida den skadliga koden körs på ditt system just nu.
Enligt en nyhetsartikel från openSUSE-projektet, på grund av bakd dörrens komplexitet och den föreslagna mekanismen för dess utnyttjande är det svårt att avgöra om den har "löpt" åtminstone en gång på denna maskin, och rekommenderar en fullständig ominstallation av operativsystemet med rotation av alla relevanta nycklar på alla maskiner som någon gång har haft de infekterade versionerna av xz.
Källa: linux.org.ru
