XZ Backdoor: “He kokoke loa kēlā”

SSH pani hope

Ua hoʻokomo kahi mea mālama ʻino a i ʻole i hoʻopilikia ʻia i kahi hana ʻino i loko o kahi waihona puke i kapa ʻia liblzma, ʻāpana o nā mea hana a me nā hale waihona puke xz, e hopena ana i kahi backdoor ma SSH. He hoʻouka kaua kaulahao lako polokalamu holomua kēia e like me ka hoʻololi ʻia ʻana o ka hale waihona puke no ka backdoor, me ka obfuscation a me nā ʻano hana stealth no ka hūnā ʻana i ka ukana hoʻouka mai nā mea loiloi.

Ua ʻike ʻia a ua hōʻike ʻia nei i hala koke aku nei (ma ka lā 29 o Malaki i hala), a ke hoʻomau nei ka lawelawe ʻana i ka hoʻouka kaua. Eia naʻe, ua kāohi koke ʻia ʻo ia no ka mea me he mea lā e pili ana i nā mana pre-release wale nō o kahi hoʻonohonoho palena o nā kaiapuni (nā pūʻolo DEB a me RPM, no ka hoʻolālā x86_64, a kūkulu ʻia me GCC). Eia naʻe, ʻo ka CVE ua hāʻawi ʻia i kahi Ka helu kumu CVSS o 10, kahi i mālama ʻia no nā nāwaliwali palekana pūnaewele koʻikoʻi loa. Inā komo ia i nā hoʻolaha paʻa, e nui loa ka hopena. 

ʻO ka loiloi loea o ka hoʻouka kaua, me ka Ua wehewehe pono ʻia ka xz backdoor, ua kālailai ʻia ma kahi ʻē aʻe. E kālele ana kēia pou i ka manawa o ka hoʻouka kaua, pehea e ʻike ʻia ai, pehea i mālama ʻia ai ka hanana a hiki i kēia lā, a me nā haʻawina e hiki ke lawe ʻia mai ka hoʻouka kaua.

Ua hoʻomau ka huelo lōʻihi o ka backdoor ma mua o ka patch mua. I ʻAukake 2025, ma mua o hoʻokahi makahiki ma hope o ka hōʻike ʻia ʻana o CVE-2024-3094, ua ʻike nā mea noiʻi palekana ma Binarly aia nō ka backdoor i loko o nā kiʻi Debian Docker he ʻumikūmālua i paʻi ʻia ma Docker Hub, me ka hui o Debian e hōʻole nei e wehe iā lākou, e mālama ana iā lākou he mau mea hana hoʻomohala mōʻaukala ma mua o ka pilikia hana. Ma ke kaʻawale, OpenSSF a ua hoʻopuka ʻo OpenJS i kahi ʻōlelo aʻo hui ma hope koke iho o ka hanana XZ ua hoʻopaʻa mua nā hoʻāʻo like ʻana o ka ʻenekinia kaiapili i nā papahana JavaScript, e hōʻike ana ke hoʻohana hou ʻia nei ke ʻano hoʻouka kaua maintainer-trust i hoʻohana ʻia ma aneʻi ma kahi ʻē.

Pehea i hoʻokomo ʻia ai ka puka hope o XZ

Nānā: Aia ka waihona git i loko git.tukaani.org. Eia naʻe, aia nō hoʻi kekahi Waihona i mālama ʻia e GitHub (ua ālai ʻia i kēia manawa) kahi i kau ai ka moʻokāki GitHub i nā loli i hoʻohui ʻia ma hope i loko o ka waihona Git.

ʻO kekahi hapa o ka backdoor me he mea lā aia wale nō i loko o nā tarballs i hoʻolaha ʻia no nā mana 5.6.0 a me 5.6.1, ʻaʻole i loko o nā waihona git a hilinaʻi ʻia ma kahi laina hoʻokahi ma ka build-to-host.m4 faila macro i hoʻohana ʻia e autoconf. ʻO ka ʻāpana ʻē aʻe i loko o ʻelua mau faila test i manaʻo ʻia bad-3-corrupt_lzma2.xz a maikaʻi-nui_i hoʻopili ʻia.lzma

ʻo ia commitTed e ka moʻokāki GitHub "Jia Tan" (JiaT75) i ka waihona xz ma ka lā 23 o Pepeluali. He hoʻololi maʻemaʻe ia e hoʻohui ana i nā faila hoʻāʻo (manaʻo ʻia he .lzma a me .xz nā poloka i hoʻopaʻa ʻia). ʻO ka mea hoihoi, ʻaʻole i hoʻohana ʻia nā faila hoʻāʻo e nā hoʻāʻo! Hoʻokomo ka laina i loko o ka faila .m4 i kahi palapala i hoʻopaʻa ʻia (i hoʻokomo ʻia i loko o ka tarball) e hoʻokō ʻia ma ka hopena o ka hoʻonohonoho inā kūlike kekahi mau kūlana. Hoʻololi ia i ka Makefile no ka liblzma waihona puke e loaʻa ai ke code e unuhi i ka ʻikepili mai ka faila .xz, kahi e pau ai ma hope o ka deobfuscation ma kēia palapala, ua kāhea ʻia ma ka hopena o ka hoʻonohonoho. Hoʻoholo ia inā e hoʻololi i ke kaʻina hana kūkulu e hoʻokomo i ke code: ma lalo o GCC a me ka mea hoʻopili GCC wale nō, ma lalo o Debian a i ʻole rpm, a no x86_64 Linux wale nō. Ke hoʻohālikelike ʻia, hoʻopaʻa ke code i hoʻokomo ʻia i ka hoʻokō ʻana ma ka hoʻololi ʻana i ʻelua ʻO Func nā mea hoʻonā i mea e pani ʻia ai kekahi mau kāhea. ʻO kēia ke kumu e wehewehe ʻia ai nā papa hōʻailona i loko o ka hoʻomanaʻo (lawe kēia i ka manawa, kahi i alakaʻi ai i ka ʻike ʻana, e like me ka mea i wehewehe ʻia ma hope).

A laila lilo nā mea i mea hoihoi: Hoʻokomo ka backdoor i kahi makau loiloi i loko o ka loulou dynamic, e kali ana i ka hōʻailona hana RSA_public_decrypt e hōʻea, kahi e hoʻihoʻi ʻia i kahi kiko i loko o ke code backdoor, kahi e kāhea hou ai. libcrypto, manaʻo ʻia e hana i ka hōʻoia maʻamau. A hoʻāla ʻia ka ukana inā loaʻa i ka polokalamu e holo ana ka inoa hana /usr/sbin/sshd. Ua maopopo he mau kikowaena SSH ka pahuhopu. Ma ke ʻano kuʻuna, ssh ʻaʻole i pili pū ʻia nā kikowaena e like me OpenSSH me liblzma, akā ʻo sshd hoʻopili pinepine ʻia e kākoʻo i ka systemd-notify i hiki i nā lawelawe ʻē aʻe ke hoʻomaka i ka wā e holo ana ʻo sshd. A laila hoʻouka ʻia ʻo liblzma e ka ʻaoʻao ʻē aʻe 'ōnaehana, e pani ana i ka pōʻai.

ʻAʻole i kālailai piha ʻia ka backdoor, akā me he mea lā e ʻae ana i ka hoʻokō ʻana o ke kauoha mamao (RCE) me nā pono o ka sshd daemon, e holo ana i loko o kahi pōʻaiapili hōʻoia mua. ʻO ka ʻike mai ka palapala hōʻoia mamao, ke hoʻohālikelike ʻia e ka backdoor, ua wehe ʻia me ChaCha20, a i ka wā e wehe pono ai, ua hoʻouna ʻia i ka ʻōnaehana()No laila, he RCE paʻa kēia, ʻoi aku ka ʻino ma mua o kahi ala ʻē aʻe o ke kī lehulehu wale nō. 

Ua hōʻike kahi tarball 5.6.1 ma hope aku i nā hoʻoikaika hou aʻe e hūnā i nā kaha, e hoʻohui ana i ka obfuscation hou aʻe no nā inoa hōʻailona, ​​a me ka hoʻāʻo ʻana e hoʻoponopono i nā hewa i ʻike ʻia. He ʻano hana hoʻonui kahi i nānā ʻia ai nā faila hoʻāʻo hou aʻe no kekahi mau pūlima e hoʻohui i ka puka hope ua hoʻokomo ʻia hoʻi.

Hiki ke hala kēia hoʻouka kaua paʻakikī a hiki i ka hiki ʻana i nā hoʻolaha Linux paʻa. ʻO ka mea pōmaikaʻi, makemake kekahi poʻe e nānā i ke kumu o nā mea maʻamau ʻole.