backdoor בחבילת xz אשר מוביל לפרצה ב-ssh

30/03/2024 - 22:18 · ‏ פורסם

mksoft · ‏ tags

אבטחת מידע ·

הדלת האחורית הוכנסה ע"י המתחזק העיקרי של xz‎‏ [LWN], בגרסאות 5.5.1 עד 5.6.1. לדלת הזו יש גם השפעה על lzma ומכאן על ssh. למעוניינים יש תחקיר מקיף על הנושא.

הפצות עם ענפים יציבים אשר משתנים בקצב איטי לא סבלו מן הסתם מהתופעה. ענפים לא יציבים שלהן או הפצות מתגלגלות פרסמו עדכונים. מומלץ למצוא בידיעה ב-lwn המקושרות למעלה את ההודעה של ההפצה שלכם.

ראו גם Backdoor found in widely used Linux utility breaks encrypted SSH connections.

בכל מקרה, לעדכן!

הערה: תודה לאנונימיים שולחי הידיעות בנושא, אשר אוחדו כאן.

קישורים רלוונטיים

· עוד על אבטחת מידע
· חדשות מאת mksoft

הסיפור הנקרא ביותר בנושא אבטחת מידע:
האקרים עדכנו גרסה עם 'דלת אחורית' בשרת הפרוייקט sendmail.org

backdoor בחבילת xz אשר מוביל לפרצה ב-ssh | כניסה / יצירת מנוי חדש | 10 תגובות

ההערות הינן מטעם כותביהן. אין צוות האתר לוקח אחריות על תוכנן

Re: backdoor בחבילת xz אשר מוביל לפרצה ב-ssh (ניקוד: 0)
ע"י פינגווין אנונימי ב 01/04/2024 - 12:15

כמה השגות שלי מהעניין:

* הקומיט הראשון שלו ב 2021 לפרוייקט libarchive היה הוספת חולשה אפשרית:
https://github.com/libarchive/libarchive/pull/1609

* כדי להשתלט על הפרוייקט XZ היו דרושים הנדסת אנוש (נוצרו חשבונות מזויפים כדי להאיץ במתחזק הקיים להחליף אותו במישהו אחר) והכנה מוקדמת (תיקונים שנשלחו)

* התמדה מעל שנתיים של תכנון הדלת האחורית - ייתכן ומדובר בגוף/קבוצה ולא אדם יחיד.

* כתובת IP (משרתי IRC) היא מסינגפור, אך כנראה פרוקסי.

* בקוד ישנן רק שלוש שורות ללא שימוש - הערות בסקריפט שלא באמת דרושות. (השורה השניה מכילה תווים סינים) להלן:
####Hello####
#��Z�.hj�
####World####

* הפורמט של XZ תומך בטריליונים של אלגוריתמים אך שימוש של רק אחד - lzma2, ויתכן שאפילו מאפשר הרצת קוד:
https://www.cisecurity.org/advisory/a-vulnerability-in-xz-utils-could-allow-for-remote-code-execution_2024-033
https://www.nongnu.org/lzip/xz_inadequate.html

[ השב לזאת ]

Re: backdoor בחבילת xz אשר מוביל לפרצה ב-ssh(ניקוד: 0)
ע"י פינגווין אנונימי ב 04/04/2024 - 10:49

תיקון: הקומנטים דרושים כיון שהם חלק מ LZMA STREAM שנועד לכאורה לבדיקות.

בינתיים חוקרים ממשיכים ללמוד את הנוזקה ונראה שניצלנו במזל גרידא.

ועולה השאלה המתבקשת - אם זה מה שמצאנו במקרה, מה אנחנו לא יודעים.

[ השב לזאת ]

Re: backdoor בחבילת xz אשר מוביל לפרצה ב-ssh(ניקוד: 0)
ע"י פינגווין אנונימי ב 04/04/2024 - 17:12

שלא לדבר על זה שזו דוגמא מעניינת לכך שקוד פתוח לא אומר בהכרח בטוח יותר מקוד סגור.
די בטוח שאם הקוד היה סגור, זה פשוט לא היה קורה.

[ השב לזאת ]

Re: backdoor בחבילת xz אשר מוביל לפרצה ב-ssh(ניקוד: 0)
ע"י פינגווין אנונימי ב 04/04/2024 - 18:05

זה דווקא נצחון לקוד הפתוח - הפתיחות הקשתה על הכנסת הקוד והקלה על גילויו.

קוד סגור מונע ממך לדעת מה קורה, ואם כבר הזריקו לך משהו - שיהיה לך בהצלחה.

[ השב לזאת ]

Re: backdoor בחבילת xz אשר מוביל לפרצה ב-ssh(ניקוד: 0)
ע"י פינגווין אנונימי ב 04/04/2024 - 22:24

עוד ניצחון כזה ואבדנו.
זה התגלה במקרה.
הוא היה יכול באותה מידה לא להתגלות אף פעם או מספיק זמן לא להתגלות וליצור נזק גדול עם הזמן כשאף אחד לא יודע עליו.

אם הקוד היה סגור, לא הייתה אפשרות להנדסה חברתית כזו מפי מספר בני אדם שעבדו בשיתוף פעולה כניראה, שאף אחד לא יודע מי הם, להצליח להכניס את הקוד פנימה בסופו של דבר.

כשהקוד סגור, מן הסתם זו חברה מסחרית שאשכרה משלמת כסף לאנשים בשביל להכניס קוד פנימה.
לא סביר שלאנשים אנונימיים תהיה מלכתחילה גישה לקוד המקור כי הקוד סגור ובטח לא תתאפשר הנדסה חברתית לאורך זמן רב עד הכנסת הקוד הזדוני פנימה, שהרי מדובר בשכירים שמוכָּרים לחברה ולא סתם שמות משתמש שאין לך מושג מי הם כמו במקרה של xz.

במקרה הנוכחי, קוד פתוח הייתה פירצה הקוראת לגנב.