Zpětná vazba k reportu

v oficiálních distribučních balíčcích zdrojových kódů kompresního nástroje xz, jehož součástí je knihovna liblzma, ve verzích 5.6.0 a 5.6.1 se nachází backdoor využitelný v kombinaci se SSH serverem OpenSSH. Verze jsou poměrně nové - 5.6.0 byla vydána 24.02.2024 [1] a 5.6.1 dne 09.03.2024 [2] - takže zatím nejsou příliš rozšířené. Dotčenými distribucemi jsou Debian Sid (testing), který se již vrátil k 5.4.5 v rámci DSA 5649-1 [3], Fedora (40 a 41/Rawhide), kde je vydána oprava a varování [4], a dále Arch, Gentoo, Slackware-current, NixOS testing, Alpine Edge a další - zatím nejúplnější seznam je na blogu [5], včetně informací, že backdoor se týká pouze systémů AMD64 a vyžaduje použití glibc (jiné implementace nemají podporu nepřímých funkcí IFUNC [6]). Kompletní analýzu publikoval Andres Freund na fóru oss-security [7], kde se následně rozběhla diskuse o rozsahu a dopadech. Analýza [7] obsahuje také deobfuskovaný kód a plyne z ní, že backdoor využívá stealth techniky, a postižené jsou tedy aktuálně pouze binárky s názvem sshd - server OpenSSH, který se ale standardně vůči liblzma nelinkuje, což mění např. Debian a Fedora. Backdoor také kontroluje běh v terminálu, v debuggeru či použití LD_PRELOAD, kdy se neaktivuje, detaily jsou v [7]. Na GitHubu projektu byl otevřen lístek [8], kde se diskutuje úmysl autorů - ten je ale již jen těžko zpochybnitelný, např. verze 5.6.1 [2] maskuje rozšíření funkčnosti backdooru za opravu chyb. Doporučení: Kontrola používané verze xz a liblzma: $ xz --version V případě verzí 5.6.0 či 5.6.1 přechod na starší verzi, např. poslední stabilní 5.4.6 [9] a kontrola stroje na infekci. Pokud na stroji zároveň běží OpenSSH server otevřený do Internetu, považovat stroj za kompromitovaný.