Backdoor v upstream xz/liblzma vedoucí ke kompromitaci SSH serverů

Byl objeven backdoor v upstream xz/liblzma ve verzích 5.6.0 a 5.6.1 vedoucí ke kompromitaci SSH serverů. Problému bylo přiřazeno CVE-2024-3094 a týká se například Debianu testing a unstable nebo beta verze Fedora Linuxu 40 a Rawhide.

29.3.2024 18:55 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[X]

Mazec. Mesic stary commit.

[RealJ]

Pockame na vyjadreni od Izaka, ten ma prehled o NSA/CIA/BIS aktivitach…

[Martin Tůma]

Toto je ale práce "těch hodných" Číňanů, o těch Izák ví kulové...

[..... Izak .....]

Ale ne, na Cinu se specilizuji - teda hlavne na Cinanky a taky Vietnamky, Thajky, Japonky a Filipinky - a sikmooke Rusky - jako jakutsko atd.

[RealJ]

v Bohnicich mate asiatky? Zajimave...

[luky]

Podle te zpravy ten backdoor neni commitnuty v gitu, ale je pouze v tarballu. V gitu jsou commitnute pomocne soubory, ktere byly ukryte v testovacich archivech.

[Jouda]

A situace je i po revertu dost nejistá viz. fórum Debianu

[Martin Tůma]

Testy jsou zlo, říkám to pořád...

[plostenka]

Dobra prace. Presvedcili maintainery dvou nejvetsich distribuci, ze nebudou kompilovat vlastni "core" balik z gitu, ale daji do repozitare neverifikovany tgz.

[plostenka]

Tak cely git. Kde vsude jeste?

[petr_p]

Co znamená „neverifikovaný“?

[Jendа]

Já to chápu tak že kdyby to byl commit, kde by ta změna Makefila byla vidět, tak by byla větší šance, že si toho někdo všimne. Ale diffovat ručně vyrobený tarball nikdo nebude.

[Xerces]

Asi se chtějí zmocnit zdrojových kódů Debianu. Mě se na tom líbí ten paradox, že ke kompromitaci otevřeného sw musí být použit uzavřený (obfuskovaný) kód. Čímž na sebe paradoxně upozorní. IMHO to dokazuje, že otevřený kód s možností auditu je jedinou cestou k tvorbě "bezpečných" programů. Každopádně je borec, že na to přišel.

[lol]

No jo vidime jak je otevreny kod "bezpecny"

[Michal]

Však se na to přišlo. Můžete zůstat u zavřených. Jak je libo.

[Petr Tomášek]

Však se na to přišlo.

Protože udělal benchmark. Ne proto, že by někdo kontroloval soubor po souboru.

[..... Izak .....]

Google chrome : liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5 (0x00007f6cb3ae3000) a co windows, ten to ma zadratovano a bez debugovaich vyvojarskych nastroju, placenych ani enzjistic, co k te binarce vsechno pribundlovali - tahle chyba je napric vsemi OS, bnebot to vsichni berou z OSS - i MacOS, Windows atd. atd. iOS tez

[Petr Tomášek]

Tohle je taky dobrý:

openssh does not directly use liblzma. However debian and several other distributions patch openssh to support systemd notification, and libsystemd does depend on lzma.

Fuck systemd...

[Jendа]

Fuck systemd...

Jak bys tohle implementoval ty?

Ten protokol je zápis řádku do socketu, normálně bys nelinkoval libsystemd ale prostě otevřel a zapsal ten socket.