Встроенный бэкдор в Linux (CVE-2024-3094).

[dzhoser]

Найден встроенный бэкдор в Linux (CVE-2024-3094).

В утилите xz, широко применяемой для сжатия файлов в различных версиях Linux, выявлен незадокументированный бэкдор CVE-2024-3094. Этот скрытый элемент угрожает безопасности всей системы поставок, открывая потенциальную лазейку для неавторизованного доступа к SSH сервисам.

Обнаружение злонамеренных файлов .m4 в составе архивов xz версии 5.6.0, которая была выпущена 24 февраля, вызвало тревогу. Эти файлы содержали команды automake для компиляции библиотеки liblzma таким образом, чтобы изменить её функционал для возможности несанкционированного доступа.

Внесённые модификации в liblzma создают риск нарушения защиты sshd, особенно учитывая, что множество дистрибутивов Linux интегрируют libsystemd, зависящий от liblzma. Это делает данную библиотеку важнейшим компонентом для функционирования OpenSSH.

Red Hat и Debian уже предприняли меры по устранению проблемы. Red Hat призвал пользователей прекратить использование экспериментальных версий, а Debian откатила пакет до более старой версии и призвала пользователей обновиться. Стабильные выпуски Debian остались неповрежденными.

CVE-2024-3094 также затрагивает менеджер пакетов HomeBrew для macOS и Kali Linux — специализированный дистрибутив для тестирования на проникновение.
Список уязвимых дистрибутивов:

• Fedora Rawhide
• Fedora 41
• Debian testing, unstable and experimental distributions versions 5.5.1alpha-0.1 to 5.6.1-1.
• openSUSE Tumbleweed and openSUSE MicroOS (забэкдоренный пакет был включен между 7 и 28 марта)
• Kali Linux (xz-utils 5.6.0-0.2 между 26 и 28 марта)
• Alpine (5.6.0 5.6.0-r0  5.6.0-r1  5.6.1 5.6.1-r0  5.6.1-r1 )

Отсюда вытекает вопрос коммиты разработчиков как то проверке безопасности подвергаются в тестовых версиях?

[yoric]

Это недо на debian.org спрашривать, тут-то откуда знать

[Лия]

https://www.debian.org/security/faq

[ogost]

Отсюда вытекает вопрос коммиты разработчиков как то проверке безопасности подвергаются в тестовых версиях?

Если вы про мейнтэйнеров Дебиан, то вам сюда:

https://www.debian.org/security/faq

Если вы о разработчиках апстрима, то у них и спрашивайте.

[dzhoser]

Всем спасибо за ответы. Задал вопрос разработчикам.