xz projesinin eski bakımcısı Lasse Collin, 2022'de faaliyetleri arka kapının tanıtılmasına yol açan yeni bakımcı Jia Tan'a haklarını devretti ve XZ Utils paketi 5.2.13, 5.4.7 ve 5.6.2'nın düzeltici sürümlerini yayınladı. Önceki bakımcının kötü niyetli faaliyetleri sonucu eklenen arka kapı bileşenlerini ve diğer şüpheli değişiklikleri kaldıran XNUMX.
Ayrıca Git deposunda bir inceleme raporu yayınlandı ve Aralık 2022'den bu yana Jia Tan'ın bakımcı olarak görev yaptığı süre boyunca değişiklikler eklendi. Değişiklikler bireysel taahhütler düzeyinde analiz edilir. Depodaki taahhütler dijital olarak imzalanmamıştı, ancak taahhüt edenlerin herhangi bir kurcalama belirtisi yoktu. Depodan toplam 8 kötü amaçlı taahhüt kaldırıldı.
MSAN'da (Memory sanitizer) kontrol edilirken yanlış pozitiflere ve OSS Fuzz ile ilgili sorunlara yol açan CRC CLMUL kodu, kod tabanından henüz kaldırılmadı. İlerleyen süreçte bu kodu yeniden düzenlemeyi planlıyorlar ancak eski şubelerde gerileme yaşanmaması adına şimdilik dokunulmamasına karar verildi. Arka kapının tanıtımıyla ilgili değişiklikler yapılmadan önce eklenen eski kayıtlarda herhangi bir şüpheli değişiklik tespit edilmedi. Yerelleştirme po dosyaları, tar dosyalarındaki meta veriler ve sürümler ve çeviriler içeren arşivler ayrı ayrı kontrol edildi.
Değişiklikler aynı zamanda birikmiş hata düzeltmelerinin eklenmesini ve arka kapıdaki işlev müdahalesini organize etmek için kullanılan dolaylı işlev çağrıları için Glibc'de sağlanan IFUNC mekanizması desteğinin kaldırılmasını da içeriyor. IFUNC kullanmanın yalnızca kodu karmaşıklaştırdığı ve bundan elde edilen performans kazancının önemli olmadığı belirtilmektedir. Önlem olarak XZ logosu, man sayfalarının PDF versiyonları ve nesne dosyalarını girdi olarak işleyen x86 ve SPARC mimarilerine yönelik iki test de kaynak paketten kaldırıldı.
Xzdec kod çözücüdeki yenilikler arasında Landlock uygulama izolasyon mekanizmasının ABI sürüm 4 desteği eklendi. Autotools derleme komut dosyalarına “--enable-doxygen” seçeneği eklendi ve Doxygen kullanarak liblzma API'sine yönelik belgeler oluşturmak ve yüklemek için Cmake komut dosyasına ENABLE_DOXYGEN parametresi eklendi. Zaten oluşturulmuş belgeler paketten kaldırıldı.
Kaynak: opennet.ru
