{"id":123408,"date":"2025-04-04T15:05:07","date_gmt":"2025-04-04T13:05:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti"},"modified":"2025-04-04T15:05:07","modified_gmt":"2025-04-04T13:05:07","slug":"obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/obnovlenie-xz-utils-5-8-1-s-ustraneniem-uyazvimosti","title":{"rendered":"Uppdatering av XZ Utils 5.8.1 som \u00e5tg\u00e4rdar s\u00e5rbarhet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Publiceringen av XZ Utils 5.8.1 har \u00e4gt rum, vilket inkluderar biblioteket liblzma och verktyg f\u00f6r att arbeta med data som \u00e4r komprimerade i formatet \".xz\". XZ Utils 5.8.1 \u00e4r det f\u00f6rsta betydande sl\u00e4ppet efter incidenten med uppt\u00e4ckten av en bakd\u00f6rr som m\u00f6jligg\u00f6r \u00e5tkomst via sshd. F\u00f6rra veckan skapades en tagg i Git f\u00f6r 5.8.0, men sl\u00e4ppet blev inte officiellt p\u00e5 grund av prestations- och kompatibilitetsproblem med \u00e4ldre versioner av GNU make som uppt\u00e4cktes efter att taggen publicerades. <\/p>\n
I uppdateringen XZ Utils 5.8.1 har en s\u00e5rbarhet (CVE-2025-31115) \u00e5tg\u00e4rdats som kan leda till krascher vid f\u00f6rs\u00f6k att packa upp s\u00e4rskilt formaterade arkiv. S\u00e5rbarheten beror p\u00e5 \u00e5tkomst till ett redan frigivet minnesomr\u00e5de (use after free). En angripare kan f\u00e5 sitt v\u00e4rde skrivet till en adress som ber\u00e4knas som \"nollpekare + offset\". Problemet betraktas som en oavsiktlig bugg, eftersom den \u00e4ndring som orsakade det gjordes i koden l\u00e5ngt innan utvecklaren Jia Tan kom in i projektet, vars arbete ledde till inf\u00f6randet av bakd\u00f6rren. <\/p>\n
Problemet upptr\u00e4der fr\u00e5n och med sl\u00e4ppet av XZ Utils 5.3.3alpha n\u00e4r dekodning utf\u00f6rs i flertr\u00e5dat l\u00e4ge (enkla dekodare p\u00e5verkas inte). Ut\u00f6ver de vanliga verktygen i xz-paketet upptr\u00e4der s\u00e5rbarheten ocks\u00e5 i tredje parts program som anv\u00e4nder funktionaliteten lzma_stream_decoder_mt fr\u00e5n biblioteket liblzma. S\u00e5rbarheten har \u00e5tg\u00e4rdats i sl\u00e4ppet XZ Utils 5.8.1 och har \u00e4ven \u00f6verf\u00f6rts till stabila grenar 5.4 och 5.6. Du kan f\u00f6lja uppdateringar i distributioner p\u00e5 f\u00f6ljande sidor: Debian, Ubuntu, RHEL, SUSE\/openSUSE, Fedora, Arch, FreeBSD. Som en n\u00f6dl\u00f6sning kan dekodning av filer i flertr\u00e5dat l\u00e4ge inaktiveras genom att anv\u00e4nda kommandot xz med alternativen \"--decompress --threads=1\" eller genom att anv\u00e4nda verktyget xzdec. <\/p>\n
Bland funktionella f\u00f6r\u00e4ndringar i grenen XZ Utils 5.8 kan n\u00e4mnas: <\/p>\n
\n
Avkodaren LZMA\/LZMA2 har f\u00e5tt m\u00f6jlighet att anv\u00e4nda SSE2-instruktioner ist\u00e4llet f\u00f6r funktionen memcpy() p\u00e5 32- och 64-bitars x86-system. \u00c4ndringen har gjort det m\u00f6jligt att f\u00f6rkorta avkodningstiden med upp till 5 % vid kompilering med Glibc, och med upp till 15 % vid kompilering med musl vid uppackning av filer med mycket h\u00f6g komprimeringsgrad.\n
I liblzma har hastigheten f\u00f6r kodning p\u00e5 64-bitars PowerPC och RISC-V-system \u00f6kat.\n
I lzma\/bcj.h har ett l\u00e5gniv\u00e5-API f\u00f6r BCJ-filter (Branch\/Call\/Jump) lagts till f\u00f6r RISC-V-, ARM64- och x86-system.\n
Koden f\u00f6r att ber\u00e4kna CLMUL CRC har skrivits om f\u00f6r x86-, x86-64- och E2K-system.\n
P\u00e5 plattformar med LoongArch-processorer anv\u00e4nds instruktioner f\u00f6r att p\u00e5skynda ber\u00e4kningen av CRC32-kontrollsummor.\n
I verktyget \"xz\" s\u00e4kerst\u00e4lls att funktionen fsync() anropas f\u00f6r att spola filcacher f\u00f6r den resulterande filen innan den ursprungliga filen tas bort. F\u00f6r att inaktivera synkronisering f\u00f6re borttagning har alternativet \"--no-sync\" implementerats.\n
I verktygen xz, xzdec och lzmainfo har icke-utskrivbara tecken ersatts med fr\u00e5getecken n\u00e4r information visas p\u00e5 sk\u00e4rmen.\n
I xz och xzdec p\u00e5 Linux-plattformen har st\u00f6d f\u00f6r version 5 och 6 av Landlock-mekanismen inf\u00f6rts f\u00f6r att isolera processen.\n
Ett skript f\u00f6r licenskontroll har lagts till, build-aux\/license-check.sh.\n
Skripten lzcmp, lzdiff, lzless, lzmore, lzgrep, lzegrep och lzfgrep, som implementerades som till\u00e4gg till verktyget xz, har f\u00f6rklarats som f\u00f6r\u00e5ldrade. <\/ul>\n