Hejto.pl
Dodaj post

Wpisz coś do wyszukania (minimum 2 znaki)

Wpis użytkownika qarmin w Programowanie

Twórca

w Programowanie

34

Jak nie śledzicie ostatnich dram w świecie programowania/open source, to oto przedstawiam nową i dość specyficzną, bo ocierającą się o możliwe tworzenie backdoorów przez rządy w popularnej bibliotece do kompresji w Linuxie(nawet jeśli jej nie używacie bezpośrednio, to masa programów w systemie jej używa pod spodem).

W skrócie to autor biblioteki w wersji 5.6.0/5.6.1 zaczął dodawać stopniowo "obfuscated"(czyli to chyba się tłumaczy jako zaciemniony) kod, który ostatecznie miał raczej pozwalać na umożliwienie zdalnego dostępu do maszyny(ponieważ xz jest używany przez openssh).

Analiza - https://www.openwall.com/lists/oss-security/2024/03/29/4
Inna analiza - https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

Wątki na internecie - polecam przeczytać komentarze, które wyjaśniają niektóre rzeczy:

* https://www.reddit.com/r/linux/comments/1bqt999/backdoor_in_upstream_xzliblzma_leading_to_ssh/
* https://www.reddit.com/r/archlinux/comments/1bqx81e/arch_linux_news_the_xz_package_has_been_backdoored/
* https://www.reddit.com/r/programming/comments/1bqxynh/major_linux_distributions_impacted_by_xz/
* https://news.ycombinator.com/item?id=39865810

Backdoor został wykryty, ponieważ powodował duże spadki wydajności oraz nie lubiał się z valgrindem, który przeczuwał że coś z binarką nie jest w porządku(wygląda że plik binarny sam się modyfikował)

Dla uspokojenia, problematyczne wersje były używane głównie w niestabilnych wersjach dystrybucji.

Komentarze (5)

Kosmonauta0

@qarmin szczerze powiedziawszy, to mnie wcale nie dziwi, AI i te gówno czaty GPT pchają oprogramowanie w closed source.

Taki zabieg ma na celu coś takiego " ej no nie dajmy tak sobie puszowac komustam coś w sieć, zablokujemy dostęp do kodu".

Na co tępe masy przystaną, nadzieja dziwna epoka, w której programiści będą się uczyć, lub też nie, języków na zlecenie pracodawców, a to już nie będzie indiańskie eldorado.

Osobistość0

@qarmin Jak się kładłem spać to widziałem już o tym jakiś artykuł. Jak po obudzeniu się odpaliłem kompa to od razu mi się odpaliła przeglądarka bo nowy wpis w "arch news" a tam żeby szybko zaktualizować system bo jest backdoor w paczce. No to szybkie pacman -Syu i patrzę, mam już zainstalowaną wersję bez backdoora, taki Arch moment bo nawet nie wiem kiedy zrobiłem ten update xD

Gruba ryba4

I nikt nie napisze gdzie doszło do naruszenia bezpieczeństwa? Ludzie, wy macie jakieś pojęcie o dokumentowaniu rzeczy? A wystarczy dodać:

Backdoor in upstream xz/liblzma leading to SSH server compromise [CVE-2024-3094]

Ten dopisek ma też od razu funkcje, że dobrze się sprawdza w Google.

Gruba ryba4

@qarmin Nawet o tym znalezisko w nocy zrobiłem: https://www.hejto.pl/wpis/backdoor-w-xz-artykul-po-angielsku

Nasze Chipy, PCLab’y, Niebezpieczniki, Zaufane Strony, i inne serwisy pewnie się obudzą za tydzień :confused:

Backdoor w XZ (artykuł po angielsku) - sierzant_armii_12_malp - Hejto.plJakiś huncwot zdołał przemycić złośliwy kod do oficjalnego tarballa XZ. Część dystrybucji Linuksa zdążyło go już zaciągnąć i udostępnić użytkownikom - na szczęście zazwyczaj w wersjach typu unstable, testing, itd. :confused: #komputery #informatyka #linuxHejto.pl
Autorytet1