O caso do backdoor para o sshd presente na liblzma

[Marcos FRM]

https://www.openwall.com/lists/oss-security/2024/03/29/4

 

https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

 

https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users

 

https://news.opensuse.org/2024/03/29/xz-backdoor/

 

https://lists.debian.org/debian-security-announce/2024/msg00057.html

 

https://arstechnica.com/security/2024/03/backdoor-found-in-widely-used-linux-utility-breaks-encrypted-ssh-connections/

 

https://9to5linux.com/red-hat-warns-fedora-linux-40-41-and-rawhide-users-about-critical-security-flaw

 

Grave, mas deu sorte porque foi descoberto antes de chegar a qualquer lançamento estável das distribuições. Senão vá saber qual seria o desastre. O tal código está sendo estudado neste momento, esperemos detalhes mais adiante. Há forte desconfiança que o autor (Jia Tan) das mudanças no repositório oficial que adicionaram o backdoor esteja envolvido:

 

https://boehs.org/node/everything-i-know-about-the-xz-backdoor

 

O que o sujeito fez em outros projetos open source está sendo revisado. Até no kernel; mesmo os patches sendo de Lasse Collin, decidiram não aceitar até a situação ser esclarecida:

 

https://lore.kernel.org/lkml/202403291736.B7E9C61@keescook/T/#m1f559f130e6d463f83ea0960a1ec3da600341576

 

(igualmente não esteve em nenhum lançamento estável)

 

Que coisa!!! 

[Marcos FRM]

Lasse Collin, criador do projeto e seu mantenedor, começou a agir:

 

https://tukaani.org/xz-backdoor/

 

O processo de reverter as sabotagens do tal Jia Tan também começou:

 

https://git.tukaani.org/?p=xz.git;a=commitdiff;h=f9cf4c05edd14dedfe63833f8ccbe41b55823b00

 

Ele promete uma investigação nos próximos dias:

 

https://lore.kernel.org/lkml/202403291736.B7E9C61@keescook/T/#mb3010db819413cb42347c92428f8b4cf30e08f6d

 

Cabe destacar que o backdoor foi descoberto por acaso por Andres Freund, um desenvolvedor do PostgreSQL que trabalha para a Microsoft:

 

https://lwn.net/Articles/967194/

 

Serve de exemplo para deixarmos as bobocas guerras Linux vs Windows de lado...

[Marcos FRM]

O repositório no GitHub foi restaurado e a limpeza está em andamento. Este commit é curioso:

 

https://github.com/tukaani-project/xz/commit/77a294d98a9d2d48f7e4ac273711518bf689f5c4

 

("Special author" )