Бэкдор в архиваторе XZ 5.6.0 и 5.6.1 (CVE-2024-3094)

Спустя месяц после выпуска новой версии архиватора XZ 5.6.0 Андрэс Фрэйнд (Andres Freund, anarazel, PostgreSQL Developer & Committer) сообщил об обнаружении в нём бэкдора (тайного входа).

---

Уязвимости подвержены системы, использующие этот код. Поскольку код очень нов, то он пока что попал только в новейшие дистрибутивы (Red Hat Fedora Linux 40 и Fedora Rawhide, openSUSE Tumbleweed — но не Slowroll и Leap, другие). Пакеты с исправлением уже готовы. Перезагрузите систему после обновления. Пока что исправление сделали путём возврата к предыдущим версиям (XZ 5.4).

Атака выглядит весьма умелой. Код бэкдора хорошо прятали.

• Открытие уязвимости ('Backdoor in upstream xz/liblzma leading to ssh server compromise")

• Исследование уязвимости № 1 ("Everything I Know About the Xz Backdoor") (обновляется)

• Исследование уязвимости № 2 ("FAQ on the xz-utils backdoor")

• National Vulnerability Database

• Сообщение от Red Hat

• Сообщение от openSUSE

• Сообщение от Debian

• Phoronix об обнаружении бэкдора

• Phoronix о выпуске XZ 5.6

• GitHub закрыл репозиторий

• Копия репозитория

Ещё ссылки:

https://lwn.net/Articles/967180/

https://www.mail-archive.com/[e-mail]/msg00567.html