LINUX.ORG.RU

В коде xz версий 5.6.0 и 5.6.1 обнаружен бэкдор

 ,


4

9

Разработчик Debian и исследователь в сфере информационной безопасности Andres Freund сообщает об обнаружении вероятного бэкдора в исходном коде xz версий 5.6.0 и 5.6.1.

Бэкдор представляет собой строчку в одном из m4-скриптов, которая дописывает обфусцированный код в конец скрипта configure. Этот код затем модифицирует один из сгенерированных Makefile проекта, что в конечном итоге приводит к попаданию вредоносной нагрузки (замаскированной под тестовый архив bad-3-corrupt_lzma2.xz) непосредственно в исполняемый файл библиотеки liblzma.

Особенность инцидента состоит в том, что вредоносные скрипты сборки, служащие «триггером» для бэкдора, содержатся только в распространяемых tar-архивах с исходным кодом и не присутствуют в git-репозитории проекта.

Сообщается, что человек, от чьего имени вредоносный код был добавлен в репозиторий проекта, либо непосредственно причастен к произошедшему, либо стал жертвой серьёзной компрометации его личных учётных записей (но исследователь склоняется к первому варианту, т. к. этот человек лично участвовал в нескольких обсуждениях, связанных с вредоносными изменениями).

По ссылке исследователь отмечает, что в конечном итоге целью бэкдора, по-видимому, является инъекция кода в процесс sshd и подмена кода проверки RSA-ключей, и приводит несколько способов косвенно проверить, исполняется ли вредоносный код на вашей системе в данный момент.

Рекомендации по безопасности были выпущены проектами Arch Linux, Debian, Red Hat и openSUSE.

Разработчики Arch Linux отдельно отмечают, что хотя заражённые версии xz и попали в репозитории дистрибутива, дистрибутив остаётся в относительной «безопасности», т. к. sshd в Arch не линкуется с liblzma.


Проект openSUSE отмечает, что ввиду запутанности кода бэкдора и предполагаемого механизма его эксплуатации сложно установить «сработал» ли он хотя бы раз на данной машине, и рекомендует полную переустановку ОС с ротацией всех релевантных ключей на всех машинах, на которых хотя бы раз оказывались заражённые версии xz.

>>> Подробности

★★★★★

Проверено: maxcom ()
Последнее исправление: ilinsky (всего исправлений: 2)

Ответ на: комментарий от firkax

Ну, огнелис уже давненько как заменил один критический компонент отрисовки графики cairo на гугловскую skia. (А в GTK вообще перешли напрямую на OpenGL/Vulkan.)

gag ★★★★★
()
Ответ на: комментарий от firkax

Не отмазывайся

ты не обосновал

Бггг што. Насрать, говорю, на тебя, иди погуляй. Или обоснуй мне сперва «устаревшую парадигму апача», я третий год жду.

thesis ★★★★★
()
Последнее исправление: thesis (всего исправлений: 4)
Ответ на: комментарий от einhander

На опеннете

Очень рад за него. Передавай привет, как увидишь еще.

Gonzo ★★★★★
()

Кстати, мысль о том, что если бы бекдор таки пролежал подольше в дебиане, он обязательно оказался бы в астре — я бы категорически обдумал.

Aceler ★★★★★
()
Ответ на: комментарий от firkax

Хорошо, но не сразу. Вот когда лично ты покажешь пример, завалив навсегда хлебало в тредах про апач, иннодб и пхп - тогда я подумаю.

thesis ★★★★★
()
Ответ на: комментарий от Aceler

Астра же медленно обновляет пакеты, это лет 10 пришлось бы ждать.

MOPKOBKA ★★★★
()
Ответ на: комментарий от Aceler

У ЦРУ и так уже есть мегазонд Intel ME, зачем им так палиться с этой мелочью? Вполне вероятно что это КНР.

X512 ★★★★★
()
Последнее исправление: X512 (всего исправлений: 1)
Ответ на: комментарий от mumpster

Тем более он там и Кумаром прикидывался.

pandrey ★★
()
Ответ на: комментарий от hateyoufeel

Очень сомневаюсь что внутри гитхаба есть хоть какая-то часть стандартного гит-софта. Скорее всего у них своя реализация, изначально рассчитанная на очень много реп и большую нагрузку. Когда-то давно на старте, возможно, там и был обычный гит с обёрткой.

firkax ★★★★★
()
Ответ на: комментарий от iron

Но тот автор коммитил в т.ч. и в исходники bsdtar (libarchive). Так что не факт ещё.

firkax ★★★★★
()
Ответ на: комментарий от firkax

Не переводи тему.

Я не перевожу, на тебя по-прежнему всем насрать.

thesis ★★★★★
()
Ответ на: комментарий от gag

Мда, что за странные люди. Разработчик ещё оправдывается что-то. Нафиг слать всех кто пытается спорить. Не согласны - делайте форки и делайте в них что хотите. Нафиг права на оригинал то отдавать...

firkax ★★★★★
()
Ответ на: комментарий от gag

Подозревают, что это фейковые люди.

И вот в этой ветке тоже, якобы, атакующий оказывает давление, чтобы поскорее сменить основного разработчика:

https://www.mail-archive.com/xz-devel@tukaani.org/msg00568.html

А на CoC там не пытались давить? Мол, главный разраб нетолерантен, и поэтому надо его заменить на мегакитайца!

hateyoufeel ★★★★★
()
Ответ на: комментарий от X512

Вот да, никогда не понимал, на кой в тарболлы с исходниками пихают сгенеренные файлы. Как по мне, тарболл должен совпадать с репой

cvs-255 ★★★★★
()
Ответ на: комментарий от cvs-255

Вот да, никогда не понимал, на кой в тарболлы с исходниками пихают сгенеренные файлы. Как по мне, тарболл должен совпадать с репой

Потому что автоконф говно. В релизном тарболе должен быть скрипт configure, но в паразиторий его класть – это получить диффы на километр говна.

hateyoufeel ★★★★★
()

This repository has been disabled.

Ну вот, и кто же этот герой? Мир должен знать!

seiken ★★★★★
()
Ответ на: комментарий от hateyoufeel

Копротулзы говно – это бесспорно, но можно же положить в репозиторий autogen.sh и послать куда подальше рекомендации авторов Autotools класть сгенерированный configure в архив с исходниками.

X512 ★★★★★
()
Последнее исправление: X512 (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

Так что всем в идеале стоит откатиться на версию до появления этого китайца – 5.3.3.

Кстати в debian 11 версия 5.2.5. Ещё одна польза от того что я до 12 не обновлялся.

firkax ★★★★★
()
Ответ на: комментарий от X512

Потому что autogen.sh не запустится без установленных автотулз и, хуже того, может не работать из-за того что автотулзы не той версии.

firkax ★★★★★
()
Ответ на: комментарий от firkax

Указать зависимости сборки в документации также как это делают с другими системами сборки. Не велика проблема. В рецептах сборки стороннего софта для Haiku configure обычно заново генерируется даже если он уже есть в архиве с исходниками.

X512 ★★★★★
()
Последнее исправление: X512 (всего исправлений: 2)
Ответ на: комментарий от X512

Так они и не палятся. Видишь, ты же первый и начал думать про КНР.

Aceler ★★★★★
()
Ответ на: комментарий от X512

Какие зависимости сборки? Автотулзы? Так их никто не хочет ставить ради сборки какого-то хлама, а тем более выискивать нужную их версию.

firkax ★★★★★
()
Ответ на: комментарий от X512

Копротулзы говно – это бесспорно, но можно же положить в репозиторийautogen.shи послать куда подальше рекомендации авторов Autotools класть сгенерированныйconfigureв архив с исходниками.

Нельзя. Автолулзы несовместимы сами с собой. Если тебе autoconf версии X выдал рабочий configure, это не значит, что то же сработает с версиями X-1 или X+1. Там этот сраный скрипт собирается тупо по шаблонам, без оглядки даже на верность синтаксиса.

hateyoufeel ★★★★★
()
Ответ на: комментарий от hateyoufeel

В репозиториях популярных дистрибутивов есть несколько версий Autotools. Ну и к тому же разработчкиков может быть получится расшатать и заставить перестать писать говнокод путём кучи баг репортов о проблемах сборки.

X512 ★★★★★
()
Последнее исправление: X512 (всего исправлений: 1)
Ответ на: комментарий от dimgel

Компонент GtkGLArea стал доступен из-коробки в GTK 3.16. Это если надо кое-что с максимальной производительностью отображать. А для менюшек, текста, кнопочек, списков и т.п. никакой особой необходимости их ускорять я не вижу. А это было сделано для реализации эффектов, анимации повсюду. Это забавно выглядит, да, но, по-моему, мешает продуктивной работе.

В итоге, раньше программы на GTK быстро запускались, а теперь пока все эти шейдеры прокомпилируются. А ещё теперь то и время появляются различия и дефекты в отображении из-за рендеринга на ускорителе. Из-за разных особенностей и багов в графических драйверах той или иной карточки.

gag ★★★★★
()
Ответ на: комментарий от X512

В репозиториях популярных дистрибутивов есть несколько версий Autotools.

Ичо? Это всё лишний геморрой, который убивает всю идею автолулзов на корню. В идеале, в дистре не должно быть не одной версии автолулзов – их все надо закопать и поставить большую табличку: «ТАК ДЕЛАТЬ НЕ НАДО!»

hateyoufeel ★★★★★
()
Ответ на: комментарий от hateyoufeel

А как же тем, кто вносят изменения в исходный код софта (исправляют баги, вносят новый функционал)? Там полюбому может потребоваться регенерировать configure.

X512 ★★★★★
()
Ответ на: комментарий от X512

У ЦРУ и так уже есть мегазонд Intel ME, зачем им так палиться с этой мелочью? Вполне вероятно что это КНР.

Мало ли, может перестраховываются, а то вдруг у тебя компьютер какой-то не такой.

Dr64h ★★★
()
Ответ на: комментарий от Aceler

они для этого и пишутся - что бы лежать и ждать своего часа

sunjob ★★★★
()
Ответ на: комментарий от hateyoufeel

Старый архиватор на си, ассемблере с изощрёнными оптимизациями, трюками для компилятора и линковщика. Немолодёжненько. Там и CoC, наверняка, не было.

Кстати, интересно, что в фильме Pleasantville (1998) CoC был навязан, наоборот, серым старшим поколением, чтобы не допустить изменений их идеально устоявшегося мира из-за пестреющего младшего.

gag ★★★★★
()

Сейчас ещё начнут продвигать идею, что единственное, что спасёт Линукс — это Микрософт. Хорошие проприетарщики из Микрософта, США спасают мир от злобных хакеров-опенсорсников из Китая. И да, уязвимость стала возможна, потому что работникам опенсорса не платят и предыдущий маинтейнер переработал и слился. Если бы это делали разработчики Микрософта за деньги — ничего плохого бы не случилось.

Vudod ★★★★★
()
Последнее исправление: Vudod (всего исправлений: 1)
Ответ на: комментарий от X512

в ветке все ругают autotols/configure etc, видимо, все понимают чем они плохи. можно в 2-3 предложениях для простых людей обьяснить?!

спасибо

sunjob ★★★★
()
Ответ на: комментарий от Vudod

а если в ms случайно делают закладки, так это от чистого сердца и то, абсолютно случайно и исключительно для повышения аппетита и нашего общего здоровья! :о)

sunjob ★★★★
()
Последнее исправление: sunjob (всего исправлений: 1)
Ответ на: комментарий от Vudod

Сейчас ещё начнут продвигать идею, что единственное, что спасёт Линукс —

это «безопасный» раст. А, заодно, протолкнут предкомпилированные бинари прям открыто официально в исходники, как я упоминал о serde тут git начинает ржаветь (комментарий). Ну, тогда не сработало, несмотря на категоричность пришлось пойти на попятную.

gag ★★★★★
()
Ответ на: комментарий от sunjob

Автотулзы разных версий плохосовместимы друг с другом, изза этого в тарболлы исходников кладут автосгенеренный configure, а новость как раз о том, что в автосгенеренный configure из тарболла подсунули бекдор и это некоторое время никто не видел т.к. бекдор был только там, а в git репе не было

cvs-255 ★★★★★
()
Ответ на: комментарий от cvs-255

На малинке GTK 2 не тормозит (GTK 3 в принципе тормознее). И речь только о рендеренге содержимого виджетов в окошках. (Да и cairo была оптимизирована до дальше уже некуда). А сам вывод картинки через иксы всё равно ускоряется.

gag ★★★★★
()
Ответ на: комментарий от cvs-255

автосгенеренный configure

сколько себя помню - это самый основной метод конфига/сборки пакетов?! (я на слаке собираю много чего, раньше вообще все «конфигурами» конфигурилось)

вопрос с другого конца тыквы
- тоже самое нельзя провернуть с «иными» популярными инструментами сборки?

sunjob ★★★★
()
Последнее исправление: sunjob (всего исправлений: 3)
Ответ на: комментарий от cvs-255

в автосгенеренный configure из тарболла подсунули

Там хитрее, т.к. знали, что Debian не использует заранее сгенерированные файлы (настолько насколько это возможно). Подсунули в макросы m4, так что при регенерации скрипт подстановки всё равно попал.

gag ★★★★★
()
Ответ на: комментарий от sunjob

Незаметно подсунуть бекдор в человекочитаемый cmakelists.txt, присутствующий в git репе гораздо сложнее чем в автогенеренный configure на тысячи строк, который к тому же только в тарболле есть

cvs-255 ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.