SSH cùl-dorasachaidh
Chuir neach-gleidhidh olc no air a mhilleadh giùlan droch-rùnach a-steach do leabharlann leis an ainm liblzma, pàirt de na h-innealan teannachaidh agus na leabharlannan xz, agus mar thoradh air sin tha doras cùil ann an SSH. 'S e ionnsaigh slabhraidh solair bathar-bog adhartach a tha seo leis gun deach an leabharlann atharrachadh a dh'aona ghnothach airson an doras cùil, le dòighean falaichte is dìomhair airson luchd an ionnsaigh fhalach bho luchd-sgrùdaidh.
Chaidh a lorg agus fhoillseachadh o chionn ghoirid (air an 29mh den Mhàrt), agus tha an ionnsaigh a’ dol air adhart. Ach, chaidh a chumail fo smachd gu sgiobalta oir tha e coltach nach eil e a’ toirt buaidh ach air dreachan ro-fhoillseachadh de sheata cuibhrichte de dh’àrainneachdan (pasganan DEB agus RPM, airson ailtireachd x86_64, agus air an togail le GCC). Co-dhiù, an CVE chaidh a thoirt seachad Sgòr bunaiteach CVSS de 10, a tha glèidhte airson na so-leòntachdan cibear-thèarainteachd as cudromaiche. Nam biodh e a’ dol a-steach do chuairtean seasmhach, bhiodh a’ bhuaidh uamhasach.
An sgrùdadh teicnigeach air an ionnsaigh, a’ gabhail a-steach an xz backdoor air a mhìneachadh gu mionaideach, chaidh a sgrùdadh ann an àite eile. Bidh am post seo a’ cur fòcas air clàr-ama na h-ionnsaigh, mar a b’ urrainnear a lorg, mar a chaidh dèiligeadh ris an tachartas gu ruige seo, agus dè na leasanan a dh’ fhaodadh a bhith air an tarraing bhon ionnsaigh.
Tha earball fada an dorais chùil air leantainn fada seachad air a’ chiad phaiste. Anns an Lùnastal 2025, còrr is bliadhna às deidh dha CVE-2024-3094 a bhith air fhoillseachadh, lorg luchd-rannsachaidh tèarainteachd aig Binarly an doras cùil fhathast an làthair ann an dusan ìomhaigh Debian Docker a chaidh fhoillseachadh air Docker Hub, le sgioba Debian a’ diùltadh an toirt air falbh, gan làimhseachadh mar nithean leasachaidh eachdraidheil seach cunnart gnìomhach. Air leth, OpenSSF agus chuir OpenJS rabhadh còmhla a-mach goirid às dèidh tachartas XZ gun robh oidhirpean coltach ri innleadaireachd shòisealta air pròiseactan JavaScript a tharganachadh mu thràth, a’ moladh gu bheil am pàtran ionnsaigh earbsa-gleidhidh a chaidh a chleachdadh an seo ga ath-chleachdadh ann an àiteachan eile.
Mar a chaidh an doras cùil XZ a stealladh
Nota: Tha an stòr-dàta git ann git.tukaani.orgS an Iar- Ach, bha ann cuideachd Stòr-tasgaidh air aoigheachd GitHub (air a bhacadh an-dràsta) far an robh cunntas GitHub a’ postadh nan atharrachaidhean a chaidh an amalachadh nas fhaide air adhart ann an stòr-tasgaidh Git.
Tha coltas gu bheil aon phàirt den backdoor anns na tarballs sgaoilte a-mhàin airson na dreachan 5.6.0 agus 5.6.1, chan ann anns na stòran-dàta git agus tha e an urra ri a aon loidhne anns an build-to-host.m4 faidhle macro a chleachd autoconf. Bha am pàirt eile ann an dà fhaidhle deuchainn a thathar ag ràdh a bha ann. droch-3-truaillidh_lzma2.xx agus math-mòr_comhbhrùite.lzma
bha sin commitTed leis a’ chunntas GitHub “Jia Tan” (JiaT75) Anns a stòr-tasgaidh xz air 23 Gearran. B’ e atharrachadh neo-chiontach a bh’ ann a bhith a’ cur faidhlichean deuchainn ris (blocaichean teannaichte .lzma agus .xz a rèir coltais). Gu inntinneach gu leòr, cha deach na faidhlichean deuchainn a chleachdadh leis na deuchainnean! Bidh an loidhne anns an fhaidhle .m4 a’ cur a-steach sgriobt doilleir (air a ghabhail a-steach anns an tarball) a thèid a chur an gnìomh aig deireadh an rèiteachaidh ma tha cuid de chumhachan a’ freagairt. Bidh e ag atharrachadh am Makefile airson an liblzma leabharlann anns am bi còd a bhios a’ tarraing dàta bhon fhaidhle .xz, a bhios an dèidh crìoch a chur air an dì-obfuscation anns an sgriobt seo, air a ghairm aig deireadh rèiteachaidh. Bidh e a’ co-dhùnadh am bu chòir am pròiseas togail atharrachadh gus còd a thoirt a-steach: a-mhàin fo GCC agus an ceangal GCC, fo Debian no rpm, agus a-mhàin airson x86_64 Linux. Nuair a bhios e co-ionnan, bidh an còd a chaidh a thoirt a-steach a’ cur stad air cur an gnìomh le bhith a’ cur an àite dhà ifunc fuasglaidhean gus am bi gairmean sònraichte air an cur nan àite. Bidh seo ag adhbhrachadh gum bi na clàran samhla air an parsadh sa chuimhne (bheir seo ùine, agus mar thoradh air an sin chaidh an lorg, mar a mhìnichear nas fhaide air adhart).
An uairsin bidh cùisean inntinneach: Bidh an backdoor a’ stàladh dubhan sgrùdaidh anns a’ cheangal fiùghantach, a’ feitheamh ri samhla gnìomh RSA_public_decrypt ruighinn, a thèid ath-stiùireadh gu puing a-steach don chòd backdoor, a bhios an uair sin a’ gairm air ais libcrypto, is dòcha gus dearbhadh àbhaisteach a dhèanamh. Agus bidh an luchd-pàighidh ag obair ma tha ainm a’ phròiseis aig a’ phrògram a tha a’ ruith /usr/sbin/sshdBha e soilleir gur e frithealaichean SSH an targaid. Gu traidiseanta, sshd Cha robh frithealaichean mar OpenSSH ceangailte ri liblzma, ach tha sshd gu tric air a chàradh gus taic a thoirt do systemd-notify gus an urrainn do sheirbheisean eile tòiseachadh nuair a bhios sshd a’ ruith. Agus an uairsin thèid liblzma a luchdachadh gu neo-dhìreach le siostam, a’ dùnadh a’ chearcaill.
Chan eil an cùl-doras air a sgrùdadh gu h-iomlan fhathast, ach tha e coltach gu bheil a’ ceadachadh cur an gnìomh àithne iomallach (RCE) le sochairean an daemon sshd, a’ ruith ann an co-theacsa ro-dhearbhachaidh. Thèid fiosrachadh bhon teisteanas iomallach, nuair a thèid a mhaidseadh leis an doras cùil, a dhì-chrioptachadh le ChaCha20, agus nuair a thèid a dhì-chrioptachadh gu soirbheachail thèid a thoirt don siostam()Mar sin 's e RCE geataichte a tha seo gu bunaiteach, tòrr nas miosa na dìreach seach-rathad iuchair phoblaich.
Sheall tarball 5.6.1 nas fhaide air adhart oidhirpean a bharrachd gus na lorgan fhalach, a’ cur barrachd mì-chinnt ris airson ainmean shamhlaidhean, agus a’ feuchainn ris na mearachdan a chithear a chàradh. uidheam leudachaidh far an deach faidhlichean deuchainn a bharrachd a choimhead airson ainmean-sgrìobhte sònraichte ri chur ris a’ chùl-doras, chaidh a chur an sàs cuideachd.
Dh’ fhaodadh an ionnsaigh seo, a tha caran iom-fhillte, a dhol seachad gun mhothachadh gus an ruig iad sgaoilidhean Linux seasmhach. Gu fortanach, is toil le cuid de dhaoine sgrùdadh a dhèanamh air carson a tha rudan neo-àbhaisteach a’ tachairt.
Lorg Ionnsaigh Cùl-doras XZ
Iomadh uair, thèid giùlan droch-rùnach a chaidh a stealladh a lorg le cothrom no tubaist. B’ e deagh eisimpleir a bh’ ann rabhadh mu bhith a’ cur às do luach (“Cò a tha a’ gabhail cùram mu rabhaidhean?”) a lean gu lorg an ionnsaigh sruth-tachartais san Dàmhair 2018. Is e fear eile an neach-cleachdaidh a thug rabhadh Codecov sa Ghiblean 2021 nach do shoirbhich leis an sgriobt luchdaidh suas bash aca an t-suim-sgrùdaidh (“Cò a dhearbhas ionracas nan nithean le suimean-sgrùdaidh”?) Neo-riaghailteachdan agus comharraidhean neònach le ssh logins (logina’ toirt tòrr CPU agus barrachd ùine air a dhol seachad, mearachdan valgrind) dhùisg iad fiosrachd Anndra Freund, leasaiche PostgreSQL furachail ach chan e anailisiche tèarainteachd (mar a thuirt eÀs dèidh beagan rannsachaidh le OpenSSH air Debian Sid, cho-dhùin e gu robh duilgheadas ùine freagairt an urra ri leabharlann, liblzma, pàirt den xz-fheum leabharlann teannachaidh. An t-adhbhar: “chaidh an stòr-tasgaidh xz upstream agus na tarballs xz a chleachdadh mar chùl-doras.Bha an dearbhadh seo cho ceart! Air 29 Màrt 2024, chuir Andres a’ chiad anailis a-steach ann an Openwall: “doras cùil ann an xz/liblzma suas an abhainn a’ leantainn gu briseadh-dùil air an fhrithealaiche ssh“An fhìrinn: Tha doras cùil ann am faidhlichean tar XZ Utils 5.6.0 agus 5.6.1. Chaidh na faidhlichean tar seo a chruthachadh agus a shoidhnigeadh leis a’ chunntas Jia Tan a chaidh ainmeachadh roimhe. He air a phostadh ann am Mastodon nas fhaide air adhart air an latha sin, a’ tuigsinn gur e tachartas gun fhiosta a bh’ anns an lorg agus gun robh feum air mòran cho-thuiteamas. Is fhiach na beachdan bho luchd-cleachdaidh eile a leughadh. Cleachdaiche GitHub an aon rud (ris an canar Sam James cuideachd) dh’fhoillsich e Gist snog Ceistean Cumanta air an doras cùil xz-utils far an deach geàrr-chunntas a dhèanamh air an ionnsaigh, a’ ceangal ri barrachd mion-sgrùdaidhean domhainn den luchd ionnsaigh. Bha na mion-sgrùdaidhean seo sùghmhor gu teicnigeach, agus chuidich iad sinn gus tuigse nas fheàrr fhaighinn air an in-stealladh, a chaidh a mhìneachadh gu mionaideach:- xz/liblzma: Mìneachadh air Mì-chinnt aig Ìre BashMion-sgrùdadh snog air an dì-obfuscation leis an sgriobt in-stealladh, ann an ceithir “ìrean”.
- Snàth gorm-speur Filippo Valsorda Mion-sgrùdadh air an doras cùil fhèin ann an RSA_public_decrypt, a sheallas a nàdar: RCE, chan e seach-rathad ùghdarrais, agus geataichte (a’ gabhail ri iuchair phrìobhaideach an ùghdair agus mura gabh, a’ tilleadh gu giùlan àbhaisteach) / gun phàigheadh air ais. Bha an t-ùghdar an dùil a bhith falaichte gus nach biodh e air a lorg!
- Mion-sgrùdadh Cùl-dhoras XZ le @smx-smx (WIP) – Mion-sgrùdadh a bharrachd air an doras cùil (chaidh mi air chall cha mhòr aig an toiseach 😀)
- Uicipeid sgrìobhainnean xz backdoor, mion-sgrùdadh eile air sgriobt in-stealladh 5.6.1.
Mar a chaidh dèiligeadh ris an tachartas
Bha foillseachadh le Andreas Freund faiceallach oir, na fhaclan fhèin:“Leis gu bheil e coltach gu bheil pàirt aig daoine san t-siostam an-aghaidh a’ chùis, chan eil mi air aithris a dhèanamh air biast an-aghaidh a’ chompanaidh. Leis gun robh mi an toiseach den bheachd gur e cùis shònraichte a bha aig Debian a bh’ ann, chuir mi aithisg nas ro-làimh gu security@...ian.org. Às dèidh sin, dh’innis mi mun chùis gu distros@. CISChaidh fios a chur gu A le sgaoileadh.
Cò a tha fo ionnsaigh?
Chaidh cunntas GitHub JiaT75 a mhilleadh (cuimhnich gun do dh’òrdaich GitHub 2FA o chionn ghoirid) no chaidh an neach-cleachdaidh corporra aig an robh a’ chunntas chun an taobh dhorcha. Ach tha adhbharan làidir ann airson smaoineachadh air bagairt leantainneach adhartach (APT), is dòcha le taic bhon stàit, air sgàth cho iom-fhillte ‘s a tha an ionnsaigh. Innsidh tuilleadh rannsachaidh le buidhnean saidhbear-thèarainteachd agus luchd-cur an gnìomh lagha… An inntrigeadh seo ann an Naidheachdan Hacker YCombinator mu Jia Tan a’ tilgeil beagan solais air an “cò” agus a ghnìomhachd. Air a mholadh! Bheir e mòran fiosrachaidh mu mar a bhios na droch ghillean a’ feuchainn ri luchd-cleachdaidh eile a mhealladh, a’ cleachdadh innleadaireachd shòisealta.“Gu math draghail - bha ùghdar an dorais chùil a rèir coltais a’ conaltradh rium (rwmj) airson grunn sheachdainean a’ feuchainn ri xz 5.6.x a chur ri Fedora 40 & 41 air sgàth nan “feartan ùra math” a th’ ann. Dh’obraich sinn còmhla ris eadhon gus an duilgheadas valgrind a chàradh (a tha a’ tionndadh a-mach a-nis gur e an doras cùil a chuir e ris a dh’adhbharaich e). Dh’fheumadh sinn rèis a dhèanamh an-raoir gus an duilgheadas a chàradh às deidh briseadh gun fhiosta den bhacadh. Tha e air a bhith na phàirt den phròiseact xz airson 2 bhliadhna, a’ cur a h-uile seòrsa faidhle deuchainn dà-chànanach ris, agus a bhith onarach leis an ìre seo de shòlaimteachd bhithinn amharasach mu dhreachan nas sine de xz gus an tèid a dhearbhadh a chaochladh.”
Ghabh Jia Tan ceumannan gus casg a chur air a bhith air a leantainn: Tha e coltach gun do chleachd e VPN (vpn.singapore.witopia.net) gus ceangal a dhèanamh – rud a tha ceart gu leòr mar sin. Agus tha coltas gu bheil mòran atharrachaidhean air an taic le puist-d sealach, aon-chleachdaidh (bho ProtonMail sa chùis seo) ag iarraidh atharrachaidhean a chur còmhla.
Dh’fhaodadh gum biodh an cleasaiche an dùil a dhol eadhon nas doimhne, suas chun eithne Linux, mar an neach a chuireas ris an air a leabachadh le xy pròiseact. Cha d’ fhuaireadh fianais sam bith air breith anabaich ann an sgrùdadh tùsail, mar a tha e an-diugh.
Nota: fear eile “Hans Jansen”, neach-taic XZ aig nach eil mòran ìomhaigh (Tha neach-cleachdaidh GitHub “hansjans162”) fo sgrùdadhTha a chunntas aig debian a-nis dùinteRinn e mòran ùrachaidhean air Debian Games gus am fear a bha e ag iarraidh air debian/xz-utils fhalach, ùrachadh air upstream 5.6.1 gus luathachadh a dhèanamh air sgaoileadh an backdoor gu debian/neo-sheasmhach.
Chan urrainn dhuinn a ràdh, an-dràsta, gur e APT (nach deach aithneachadh fhathast) a tha seo a’ cleachdadh diofar chunntasan, ag obair airson co-dhiù dà bhliadhna air a’ champàin seo, agus ag obair gu foighidneach gus RCE a chur an sàs ann an SSH.
Aig àm sgrìobhaidh seo, chan eil dearbh-aithne “Jia Tan” air a dhearbhadh fhathast. Cha deach dearbhadh poblach a dhèanamh air ceangal earbsach sam bith ri neach, buidheann no cleasaiche stàite sònraichte, a’ neartachadh cho èifeachdach ’s a bha smachd obrachaidh a’ phearsa.
An robh e comasach casg a chur air ionnsaigh cùil-doras an XZ?
Gu math duilich.
An toiseach, thàinig pàirt den chùl-doras a chaidh a thoirt a-steach do fhaidhlichean deuchainn teannaichte nach deach an cleachdadh le deuchainnean. A’ coimhead air ais, dh’ fhaodadh sin cuid de rabhaidhean (fuaimneach) a thogail, ach cò a tha a’ gabhail cùram mu bhith a’ dèanamh cinnteach gu bheil na faidhlichean deuchainn uile air an cleachdadh le deuchainnean fìor san t-saoghal fhìor? San dàrna àite, thàinig pàirt den chùl-doras a chaidh a thoirt a-steach ann am faidhlichean macro a-steach do na tarballs fuasglaidh, agus tha e duilich sgrùdadh a dhèanamh le làimh airson eadar-dhealachaidhean leis na tarballs ris a bheil dùil. Tha fèin-ghluasad cuideachd iom-fhillte, leis gu bheil e duilich an toradh ris a bheil dùil bhon togail fhèin (dhaibhsan aig a bheil fios mar a tha automake/autoconf ag obair) a mhodaileadh airson a bhith a’ sgrùdadh a bheil am fìor tarball a’ freagairt ris na bha dùil. Chuir cuid e as “’S e feart a th’ anns na tarballs nach eil a’ freagairt ris a’ chraobh git, chan e biast”Tha tùs nan tarballs dà-chànanach bhon chòd tùsail aige na dhuilgheadas gun fhuasgladh.
Cliù an neach-cleachdaidh? Uill, cha robh cunntas GitHub JiaTan75 a’ dèanamh rudan mì-laghail a rèir an ama a dh’fhalbh. commits. Cha deach a chur dheth ach an dèidh don fhianais cruinneachadh, ach suas gu 29 Màrt b’ e neach-cleachdaidh cunbhalach a bha a’ dèanamh gnìomhachas àbhaisteach. Uill, chan eil sin cho àbhaisteach. Nas fhaide air adhart commits (seo, seo, seo, agus seo a dh’atharraich an còd exploit) dh’fheuch ri mearachdan agus tubaistean valgrind a chàradh ann an cuid de rèiteachaidhean, air sgàth eadar-dhealachaidhean leis an cruth cruach a bha dùil aig an backdoor. Commit Dh’fhaodadh lèirmheasan seo a lorg, ach cò aig a bheil an fhoighidinn gus atharrachaidhean ann am faidhle deuchainn dà-chànanach a sgrùdadh no an fhìor adhbhar airson atharrachadh ann am feartan GCC ann an còd tùsail C?
Am bu chòir rabhadh a thogail nuair a bhios SSH ann? login a bheir 800 ms an àite 300 ms? Is dòcha nach toireadh ach daoine ro-ghlic an aire. Thuirt Cicero, "Buinidh luathas don òige; gliocas don aois."
Chaidh bun-structar ifunc a chur ris san Ògmhios 2023 le “Hans Jansen” agus “Jia Tan”. ’S e seo a’ chiad fhear commit a’ cur taic ifunc ri crc64_fast.c (air a chleachdadh nas fhaide air adhart gus an backdoor a thoirt a-steach). Mìosan mus deach na faidhlichean binary backdoor a thoirt a-steach do na faidhlichean deuchainn!
Nota: Ùghdar agus commitTha eadar-dhealachadh an seo, ach tha seo àbhaisteach: ’s e Lasse Collin neach-gleidhidh a’ phròiseict, agus chuir e na h-atharrachaidhean ri chèile. Tha e eadhon a’ toirt taing do “Hans Jansen”…
Cha do thog duine draghan mus do chuir Andres Freund post agus an CVE a chruthaich RedHat. Ma chì thu sreath de dh’innealan a ghlacas seo, bidh iad a’ lorg a’ phàirt air a bheil buaidh a-nis, ex post facto.
Is dòcha gur e nàdar nan sgaoilidhean Linux a thug an casg as fheàrr, agus mar a bhios dreachan neo-sheasmhach, aig oir ùr a’ dol gu sgaoilidhean seasmhach sìos an abhainn a-mhàin às dèidh pròiseas aig astar.
Leasanan a chaidh ionnsachadh bho ionnsaigh XZ bBackdoor
Tha sinn air mothachadh cho duilich ‘s a tha e a lorg deiseil dorsan cùil. Bu chòir beachdachadh air dorsan cùil mar chunnart a-staigh, oir tha iad air an cur le luchd-obrach a-staigh no tro chunntasan a-staigh a tha air an cunnartachadh. Agus tha earbsa mhòr anns na daoine sin. Agus nuair a thèid an doras cùil a chur a-steach don artaifeact sgaoilte, tha e ga dhèanamh nas duilghe a lorg.
cuid de ùghdaran mar Kevin Beaumont chomharraich e air siostam, a dh’fhosglas uachdar ionnsaigh mòr de sheirbheisean treas-phàrtaidh gu doras cùil. Is e seo a rinn an droch chleasaiche ana-cleachdadh an seo. Tha mòran shùilean aig Systemd, ach tha XZ na leabharlann doilleir suas an t-sreath. “Nuair a bhios an t-sruth suas air a thruailleadh, bidh a h-uile duine ag òl uisge puinnseanta sìos an abhainn”.
Iarrtas atharrachaidh neo-cheangailte anns an t-siostam airson a’ luchdachadh leabharlannan teannachaidh gu daineamaigeach, a bheireadh air falbh an doras cùil, bha e air a chur còmhla ris an t-siostam mu thràth ach cha deach a lìbhrigeadh fhathast. Dh’fhaodadh na h-eisimeileachdan a bharrachd a thug libsystemd a-steach a bhith nan tùs do sho-leòntachd., agus an-dè chaidh an t-iarrtas seo fhosgladh.
A beachd anns an “xz: Cuir dheth ifunc gus an duilgheadas a chàradh” commit thug e sealladh geur air càite an cuir sinn am fòcas ma tha sinn airson casg a chuir air gnìomhachd mar sin (is mise a tha a’ cur cuideam air):
“Is e an leasan a bu chòir dhuinn ionnsachadh mar choimhearsnachd barrachd a bhith tèarainte software supply chain security gu h-iomlan, a’ sgrùdadh shiostaman togail nas fhaide na dìreach còd tùsail. Coltach ris a’ bhriseadh tèarainteachd aig SolarWinds far an do dh’atharraich luchd-ionnsaigh ùrachaidhean bathar-bog airson bathar-bog sgrùdaidh stòr dùinte SolarWinds.”
CÀBHA
A bheil an doras cùil XZ fhathast na chunnart an-diugh?
Air a chumail fo smachd sa mhòr-chuid, ach chan eil e air falbh gu tur. Anns an Lùnastal 2025, lorg luchd-rannsachaidh an doras cùil fhathast an làthair ann an grunn ìomhaighean Debian Docker Hub, air an làimhseachadh le Debian mar nithean eachdraidheil neo-ghnìomhach. Bu chòir do sgiobaidhean dearbhadh nach eil iad a’ togail air ìomhaighean bunaiteach seann-fhasanta, gun phaiste seach a bhith a’ gabhail ris gun do dhùin pasgan 2024 an doras gu tur.
