Нападот врз xz и openssh (спречен, за сега)

[gdamjan]

Кој следи можда веќе чу, во библиотеката за декомпресија liblzma (дел од проектот xz) е најден backdoor (задна врата?) код.
Според првичните сознанија backdoor кодот во библиотеката се активира кога таа библиотека е вчитана како дел од sshd процесот (openssh, secure shell), и притоа менува една од рутините на openssh со што овозможува remote shell пристап до системот без проверка/автентификација.

По се изгледа, ова е намерен чин на еден од соработниците на проектот, кој се појавил пред 2 години, прво почнал да помага со полесни таскови и тестови, да некаде на почеток на годинава го има вклучено backdoor кодот во архиви како дел од тестовите. Интересното е дека source кодот симнат директно од github функционира нормално, меѓутоа, истиот лик има направено и две верзии/release-ови (5.6.0 и 5.6.1) на кои има закачено своја архива на source-code, кои незначително се разликуваат од официјалниот source-код со тоа што го активитраат backdoor-от.

Потоа следела и кампања да се update-ира на најновите верзии во Fedora Ubuntu и Debian - што за малку и ќе успеело (Fedora 40 и Ubuntu 24.04 треба да искочат наскоро).

Во меѓувреме, Андрес Фреунд додека тестира перфомаси на Postgres базата, приметува дека sshd му троши неочекувано повеќе процесорко време и тргнува да го истражува проблемот. При што доаѓа до backdoor-от и го наоѓа и изворот. И работата станува јавна.

Моментално github проектната страница на xz е исклучена, моја претпоставка е дека е замрзната состојбата за да се направи audit/форензика и да се соберат докази за фактичката состојба.

Everything I know about the XZ backdoor

Please note: This is being updated in real-time. The intent is to make sense of lots of simultaneous discoveries

boehs.org

XZ Utils backdoor

tukaani.org

A backdoor in xz [LWN.net]

lwn.net

 

[gdamjan]

Еден од заклучоците е, ако сте користеле Fedora 40 beta или Rawhide, Debian Testing, OpenSuse Tumbleweed - дека ќе треба да реинсталирате за најсигурно.

Генерално ниедна стабилна/release-ната верзија на дистрибуција не е афектирана, вака или онака. Специфичноста на конкретниот malware е дека се инјектира во lzma библиотеката само при билдање на rpm или dpkg пакети, а потоа пробува да го нападне sshd.