Backdoor iniettata negli strumenti di compressione XZ in diverse distribuzioni Linux

A causa di un utilizzo insolitamente elevato della CPU e di messaggi di errore durante l'utilizzo del login remoto tramite SSH, lo sviluppatore di software Andreas Freund ha notato un enorme buco di sicurezza nella sua installazione SID di Debian. Lo sviluppatore è riuscito a identificare la causa in XZ-Tools, una raccolta di strumenti di compressione inclusi in molte distribuzioni Linux e utilizzati da SSH.

La vulnerabilità, denominata CVE-2024-3094consente un accesso remoto non autorizzato ai sistemi Linux interessati. Le versioni interessate dalla backdoor sono le utility XZ e la libreria liblmza associata nelle versioni 5.6.0 dalla fine di febbraio e 5.6.1 dal 9 marzo. Queste versioni XZ compromesse, introdotte da uno degli stessi sviluppatori XZ, bypassano l'autenticazione SSH, consentendo agli aggressori di ottenere il pieno controllo remoto del sistema.

Lo sviluppatore di software Andreas Freund scrive della sua scoperta della vulnerabilità: "Dopo aver osservato alcuni sintomi strani intorno a liblzma (parte del pacchetto xz) su installazioni Debian sid nelle ultime settimane (accessi con ssh che richiedono molta CPU, errori di valgrind), ho capito la risposta: Il repository xz upstream e i tarball xz sono stati backdoored. All'inizio pensavo che si trattasse di una compromissione del pacchetto di Debian, ma si è scoperto che si trattava di upstream"

Il codice backdoor era solo parzialmente nascosto nel codice open source su GitHub, e GitHub stesso ha sospeso l'account di XZ Utilities per il momento. Le distribuzioni Linux interessate, per le quali sono già disponibili aggiornamenti, ad eccezione di Fedora Rawhide, sono

• Debian Testing, Unstable e Experimental
• Fedora Rawhide
• Arch Linux
• openSUSE Tumbleweed

Distribuzioni come Debian Stable, Fedora 39, openSUSE Leap o Red Hat Enterprise Linux (RHEL) non sono interessate dalla vulnerabilità di XZ Utilities. Se utilizza una delle distribuzioni Linux di cui sopra, può verificare il numero di versione di XZ Utilities nella console con xz -version. Idealmente, si raccomanda una nuova installazione, soprattutto se l'accesso SSH è abilitato sul sistema Linux.