Łańcuch dostaw / DATA PUBLICZNEGO OGŁOSZENIA
xz: backdoor w łańcuchu dostaw
Tym razem zagrożenie wynikało z celowo wprowadzonego kodu, a nie z przypadkowej pomyłki programisty.
Co się wydarzyło?
29 marca 2024 roku Andres Freund opisał backdoor w xz/liblzma. Podejrzenia wzbudziły nietypowe zachowanie i zużycie procesora podczas logowania przez SSH. Analiza doprowadziła do złośliwych elementów w archiwach wydań projektu.
Nie oznaczało to przejęcia każdego Linuksa ani każdego serwera SSH. Znaczenie miały konkretne wersje, sposób zbudowania pakietu i powiązania bibliotek. Szczególnie istotne było rozróżnienie archiwum wydania od zawartości pobieranej bezpośrednio z repozytorium.
Co to oznacza dla administratora?
Aktualizacje wymagają zaufanego źródła, ale także kontroli zależności i komunikatów dystrybucji. Bezpieczeństwo hostingu zależy także od bibliotek instalowanych wraz z innymi programami, nawet jeśli administrator nie wybierał ich samodzielnie.