LINUX.ORG.RU

В коде xz версий 5.6.0 и 5.6.1 обнаружен бэкдор

 ,


4

9

Разработчик Debian и исследователь в сфере информационной безопасности Andres Freund сообщает об обнаружении вероятного бэкдора в исходном коде xz версий 5.6.0 и 5.6.1.

Бэкдор представляет собой строчку в одном из m4-скриптов, которая дописывает обфусцированный код в конец скрипта configure. Этот код затем модифицирует один из сгенерированных Makefile проекта, что в конечном итоге приводит к попаданию вредоносной нагрузки (замаскированной под тестовый архив bad-3-corrupt_lzma2.xz) непосредственно в исполняемый файл библиотеки liblzma.

Особенность инцидента состоит в том, что вредоносные скрипты сборки, служащие «триггером» для бэкдора, содержатся только в распространяемых tar-архивах с исходным кодом и не присутствуют в git-репозитории проекта.

Сообщается, что человек, от чьего имени вредоносный код был добавлен в репозиторий проекта, либо непосредственно причастен к произошедшему, либо стал жертвой серьёзной компрометации его личных учётных записей (но исследователь склоняется к первому варианту, т. к. этот человек лично участвовал в нескольких обсуждениях, связанных с вредоносными изменениями).

По ссылке исследователь отмечает, что в конечном итоге целью бэкдора, по-видимому, является инъекция кода в процесс sshd и подмена кода проверки RSA-ключей, и приводит несколько способов косвенно проверить, исполняется ли вредоносный код на вашей системе в данный момент.

Рекомендации по безопасности были выпущены проектами Arch Linux, Debian, Red Hat и openSUSE.

Разработчики Arch Linux отдельно отмечают, что хотя заражённые версии xz и попали в репозитории дистрибутива, дистрибутив остаётся в относительной «безопасности», т. к. sshd в Arch не линкуется с liblzma.


Проект openSUSE отмечает, что ввиду запутанности кода бэкдора и предполагаемого механизма его эксплуатации сложно установить «сработал» ли он хотя бы раз на данной машине, и рекомендует полную переустановку ОС с ротацией всех релевантных ключей на всех машинах, на которых хотя бы раз оказывались заражённые версии xz.

>>> Подробности

★★★★★

Проверено: maxcom ()
Последнее исправление: ilinsky (всего исправлений: 2)

Ответ на: комментарий от wandrien

Если не требуются специфичные Meson модули, то этим вполне можно пользоваться.

X512 ★★★★★
()
Ответ на: комментарий от dimgel

Дошейдерное уже давным-давно объявлено устаревшим. Если используешь GLUT, GLFW или ImGUI (которое использует одну из этих обёрток), то ты волен всё ещё использовать fixed pipeline.

Вот то Qt на qml, что использует EGL? И тут тонкость в том, чтобы шустро запускалось.

gag ★★★★★
()
Ответ на: комментарий от X512

А я вот читаю эту обсуждения и не понимаю, какие такие тонны шейдеров необходимо компилировать?

Речь же идет о выводе элементарной двумерной графики? Или нет?

Там и шейдеры будут простейшие.

wandrien ★★
()
Последнее исправление: wandrien (всего исправлений: 1)
Ответ на: комментарий от wandrien

какие такие тонны шейдеров необходимо компилировать?

Ещё и по несколько раз, якобы.

gag ★★★★★
()
Ответ на: комментарий от gag

Ответственность перенимает тот, кто жмёт коммит непосредственно в Debian.

Какая ответственность? Себастьян лишится лычек DD, получит по щам сапогами или что-то еще?

Шансы протолкнуть это да, так работает свободное ПО.

Так-то да. Поэтому oldoldstable, oldstable, в крайнем случае stable. Пока другие побольше грабель соберут.

undef ★★
()
Ответ на: комментарий от seiken

The people who will sign your key will need to see … passport or similar.

Т.е. видя тебя лично им ещё нужно и подтверждение, что твоя внешность более менее сочетается с твоей личностью.

gag ★★★★★
()
Ответ на: комментарий от undef

Ну, тут, наверное, нужно побывать в какой-нибудь управленческой/руководящей должности, когда ты не успеваешь всё делать сам, и пользуешься как бы результатом труда других, но выше спросят, в первую очередь, с тебя. Что логично.

Он не должен ничего лишаться, но его отношение к мэйнтейнерству уже, наверняка, не будет таким как прежде. Каждый раз видя новый баг типа «please package new upstream version», что неизбежно, будет вспоминаться, а вдруг там засада. В итоге, с новыми версиями в Debian может стать ещё сложнее.

gag ★★★★★
()
Ответ на: комментарий от X512

Так поэтому сначала дают пройти волонтёрскую эксплуататорскую proof-of-work. Но, конечно, и это не исключаемо.

gag ★★★★★
()
Ответ на: комментарий от gag

Кшмар. Хочу в детство. Велосипед, воздушные змеи, а не вот это всё.

dimgel ★★★★★
()

Хорошо, что я арчик редко обновляю. Бэкдор прошёл мимо меня.

➜  ~ pacman -F xz  
core/xz 5.2.7-1 [установлен: 5.4.5-1]
ox55ff ★★★★★
()
Ответ на: комментарий от gag

В обсуждении бага промелькнула мысль «может ну их, такие здоровые NMU». Как в воду глядели.

В итоге, с новыми версиями в Debian может стать ещё сложнее.

А что тут сделать, если уже upstream может быть заряжен.

undef ★★
()
Ответ на: комментарий от Skullnet

Нефиг юзать автоговно, в cmake бы такое увидели сразу.

Да вот не увидели в CMake тоже: В коде xz версий 5.6.0 и 5.6.1 обнаружен бэкдор (комментарий)

Злоумышленник добавил точку в CMake тест, что кажется отключало сандбоксинг из-за того что результат компиляции был False.

EXL ★★★★★
()
Ответ на: комментарий от gag

Это максимум какая-то видео-сессия (и то, этого явно не сказано). Это не личная встреча, тем более, с развитием современных технологий 3D.

seiken ★★★★★
()
Ответ на: комментарий от X512

Ну на нынешнем моем проекте используется skia на телеках, стартует довольно быстро

cvs-255 ★★★★★
()
Ответ на: комментарий от seiken

Ну, кроме глобальной, проходили же какие-то более-менее локальные сходки, где бы были DM/DD. По крайней мере до ковид. А там с бумом видео-конференций, а потом и манипуляций в реальном времени и правила не успеешь адаптировать к современным реалиям. Причём не только к ним, а ещё и выросшей угрозы.

gag ★★★★★
()

У нас в конторе была какая активность по удалению liblzma. Видимо, решили, что оно не только sshd таргетирует.

seiken ★★★★★
()
Ответ на: комментарий от realbarmaley

Ну, я понимаю, что сильно высокоуровневое и на питоне, но jinja2 стала эталоном шаблонизаторов не только в HTML.

От себя добавлю, что сам предпочитаю пойти ещё дальше и избавиться от тегов вообще, используя yaml подобный препроцессор pug.

В итоге, у меня yaml подобный исходник шаблона jinja2. Очень читаемо и удобно.

PS. Посмотрел, как там pug, он из ямлы в тоже шаблонизатор вырос. Рекомендую, просто, читаемо.

Shadow ★★★★★
()
Последнее исправление: Shadow (всего исправлений: 1)
Ответ на: комментарий от dimgel

древнее до-шейдерное API рисования примитивов?

А ты думаешь, почему в винде запилили AERO? Чтобы красиво? Нет, чтобы композитор вместо примитивов. На переходе с XP на Windows 7 на слабык компах но с OpenGL карточкой было очень заметно: на XP окна мигают-лагают, на 7 прям целые двигаются. Естественно, на старых Matrox и Ati Mach64 под XP окошки были плавными, чёткими и быстрыми.

Shadow ★★★★★
()
Последнее исправление: Shadow (всего исправлений: 1)
Ответ на: комментарий от gag

Так поэтому сначала дают пройти волонтёрскую эксплуататорскую proof-of-work. Но, конечно, и это не исключаемо.

Только никто этого делать не хочет. Во-первых, потому что в дебиане залежи окаменелых фекалий вместо нормальной сборочной системы для пакетов. А во-вторых, потому что за это никто не платит, так ещё и с дебиановской бюрократией надо бодаться. В итоге, в Debian разрабов тупо не хватает и туда пролезают вот такие персонажи.

https://www.theregister.com/2020/09/10/debian_project_address/

hateyoufeel ★★★★★
()
Ответ на: комментарий от Shadow

древнее до-шейдерное API рисования примитивов?

А ты думаешь, почему в винде запилили AERO? Чтобы красиво? Нет, чтобы композитор вместо примитивов. На переходе с XP на Windows 7 на слабык компах но с OpenGL карточкой было очень заметно: на XP окна мигают-лагают, на 7 прям целые двигаются. Естественно, на старых Matrox и Ati Mach64 под XP окошки были плавными, чёткими и быстрыми.

Я не понимаю, а зачем всё это? Чтобы что? Окошки со времён Windows 95 стали чем-то сильно отличаться? Ну да, кнопочки стали круглыми и больше размером, но как это на скорость или сложность отрисовки-то должно влиять? И как это делает интерфейсы лучше?

hateyoufeel ★★★★★
()
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

Нет, во времена windows 95 один нестандартный специализированный компьютер их рисовал («windows accelerator»), а в новое время - совершенно другой относительно стандартный 3D accelerator

Shadow ★★★★★
()
Ответ на: комментарий от Shadow

Нет, во времена windows 95 один нестандартный специализированный компьютер их рисовал («windows accelerator»), а в новое время - совершенно другой относительно стандартный 3D accelerator

Окей, замени Windows 95 на Motif/Athena. Они рисовали на CPU 100% и при этом были быстрее чем GTK4.

hateyoufeel ★★★★★
()
Ответ на: комментарий от iron

All supported FreeBSD releases include versions of xz that
predate the affected releases.

That’s the way predative innovations come. ))))))

mumpster ★★★★★
()
Ответ на: комментарий от cumvillain

Они рисовали экран 1024x768 с dpi 96.

Ииии в чём проблема так же рисовать на экран 5120x2880? Я почему-то уверен, что даже в таком варианте целиком софтварный рендеринг интерфейса будет быстрее чем то что в GTK4.

hateyoufeel ★★★★★
()
Ответ на: комментарий от hateyoufeel

Ииии в чём проблема так же рисовать на экран 5120x2880? Я почему-то уверен, что даже в таком варианте целиком софтварный рендеринг интерфейса будет быстрее чем то что в GTK4.

Рендеринг pdf почему-то софтварно получается очень не очень. Хотя хз, мб виноват конечно cairo иил что-то из этих.

cumvillain
()
Ответ на: комментарий от cumvillain

Ииии в чём проблема так же рисовать на экран 5120x2880? Я почему-то уверен, что даже в таком варианте целиком софтварный рендеринг интерфейса будет быстрее чем то что в GTK4.

Рендеринг pdf почему-то софтварно получается очень не очень. Хотя хз, мб виноват конечно cairo иил что-то из этих.

Знаешь, это безумие какое-то. Я тут ради лулзов Quake2 на 5к экране запустил с целиком софтварным рендерингом. Без vsync оно выдаёт сотни FPS, не особо нагружая мой проц при этом. Какого ж хрена буковки-то рисовать так сложно стало?

hateyoufeel ★★★★★
()
Ответ на: комментарий от Somebody

Отучаемся говорить за всех

Ни за что.

thesis ★★★★★
()
Ответ на: комментарий от Shadow

э…имеется в виду SSI?
так-то m4 раньше возник.
и да, SSI - это динамическая генерация, дял чего сейчас пых-пыхи используются и т.п.

а у камрада может быть просто статика генерится и раз и почти навсегда из готовых описаний.

mumpster ★★★★★
()
Ответ на: комментарий от Rootlexx

Я так понял, что в Дебиане не берут тарбол с сайта, а собирают, а в исходниках проблем-то нет. Поэтому для того, чтобы протолкнуть изменения в deb-пакет, пришлось стать маинтейнером.

Vudod ★★★★★
()
Ответ на: комментарий от Vudod

Я так понял, что в Дебиане не берут тарбол с сайта, а собирают, а в исходниках проблем-то нет. Поэтому для того, чтобы протолкнуть изменения в deb-пакет, пришлось стать маинтейнером.

Исходники в тарболе с сайта.

cumvillain
()
Ответ на: комментарий от hateyoufeel

При чем здесь дебиановская бюрократия, если отравлен апстрим? Наоборот, эта самая бюрократия отсекает часть грабель, предоставив право поскакать по ним тем же арчу, федоре.

undef ★★
()
Ответ на: комментарий от undef

Наоборот, эта самая бюрократия отсекает часть грабель, предоставив право поскакать по ним тем же арчу, федоре.

И как? Бэкдор в xz отсекла? Рач, кстати, не пострадал от это бэкдора. Как и NixOS, и некоторые другие bleeding edge дистры.

hateyoufeel ★★★★★
()
Ответ на: комментарий от undef

Ну так stable дебиана и убунты не попала.

Ну да, потому что stable релизится раз в три года. Ты ещё скажи, что в слаку бэкдор не попал, потому что её не релизили пять лет.

Если бы сейчас это не заметили, оно бы в stable попало в итоге.

hateyoufeel ★★★★★
()
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

Рач, кстати, не пострадал от это бэкдора. Как и NixOS, и некоторые другие bleeding edge дистры

«Ну да, потому что» эти дистрибутивы не были целью атаки. Заражённый код-то все всосали без исключения, так что сработал принцип неуловимого Джо.

Rootlexx ★★★★★
()
Ответ на: комментарий от hateyoufeel

Stable релизится раз в два года, с периодом заморозки. Из-за этого периода убунта не пострадала, хотя релизится раз полгода. Вот она и бюрократия. За слаку не скажу, не знаком с ее релизным циклом.

undef ★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.