XZ Backdoor: “Sa toetoe lava a maeʻa”

SSH Fa'aulufale i Tua

Na fa'aofi e se tagata tausi mea leaga po'o se tagata ua fa'aleagaina ni amioga leaga i totonu o se faletusi e igoa ia liblzma, o se vaega o meafaigaluega ma faletusi o le xz compression, ma iu ai ina faia se backdoor i le SSH. O se osofaʻiga faʻapitoa lea o le sapalai o polokalama faakomepiuta ona o le faletusi na faʻafouina ma le faʻamoemoe mo le backdoor, faʻatasi ai ma metotia faʻalilolilo ma le natia mo le nanaina o le avega o le osofaʻiga mai tagata iloilo.

Na maua ma faʻaalia talu ai nei (ia Mati 29), ma o loʻo faʻaauau pea le taulimaina o osofaʻiga. Peitaʻi, na vave ona taofia ona e foliga mai e naʻo lomiga aʻo leʻi faʻalauiloaina o se seti faʻatapulaʻa o siosiomaga (afifi DEB ma RPM, mo le fausaga x86_64, ma fausia i le GCC). Ae ui i lea, o le CVE sa tuuina atu i ai se Sikoa faavae o le CVSS o le 10, lea e fa'apolopolo mo vaivaiga sili ona taua i le saogalemu fa'akomepiuta. Afai e ulufale atu i tufatufaga mautu, o le a matua lofituina le aafiaga. 

O le auiliiliga fa'atekinolosi o le osofa'iga, e aofia ai le Fa'amatalaga auiliili o le xz backdoor, sa iloiloina i se isi mea. O lenei pou o le a taulaʻi i le taimi na tupu ai le osofaʻiga, pe na faʻapefea ona iloa, pe na faʻapefea ona taulimaina le mea na tupu i le taimi nei, ma o a lesona e mafai ona maua mai le osofaʻiga.

O le si'usi'u umi o le faitoto'a i tua ua leva ona fa'aauau pea ona faia i tua atu o le fa'apipi'iga muamua. Ia Aokuso 2025, i le silia ma le tausaga talu ona fa'ailoa mai le CVE-2024-3094, na maua ai e le au su'esu'e saogalemu i Binarly o lo'o iai pea le faitoto'a i le sefululua ata o le Debian Docker na lolomiina i le Docker Hub, ma le 'au a le Debian na musu e aveese, ma va'aia o ni mea tau atina'e fa'asolopito nai lo o ni lamatiaga ola. I se isi itu, OpenSSF ma le OpenJS na tuʻuina atu se lapataʻiga faʻatasi ina ua maeʻa le faʻalavelave i le XZ e faʻapea o taumafaiga faʻapena a le social-engineering ua uma ona faʻatatauina i galuega faatino a le JavaScript, ma faʻailoa mai ai o le mamanu o le osofaʻiga a le maintainer-trust o loʻo faʻaaogaina iinei o loʻo toe faʻaaogaina i isi mea.

Na fa'apefea ona tuiina le faitoto'a tua o le XZ

Fa'amatalaga: O lo'o iai le git repository git.tukaani.org. Ae peitai, sa i ai fo'i se O le fale teuoloa e talimalo i ai le GitHub (ua poloka nei) lea sa fa'asalalauina ai e le teugatupe GitHub ia suiga na mulimuli ane tu'ufa'atasia i totonu o le teuina o le Git.

E foliga mai o le tasi vaega o le backdoor e na'o totonu o tarballs tufatufaina mo lomiga 5.6.0 ma le 5.6.1, ae le o totonu o le git repositories ma e fa'alagolago i luga o se laina e tasi i le build-to-host.m4 faila macro na faʻaaogaina e le autoconf. O le isi vaega sa i totonu o ni faila suʻega se lua na fai mai leaga-3-corrupt_lzma2.xz ma lelei-tele_fa'apipi'i.lzma

o le commitTed e le tala GitHub “Jia Tan” (JiaT75) i le fale teuoloa xz i le aso 23 o Fepuari. O se suiga faigofie lea i le faaopoopoina o faila suega (e pei ona ta'ua o poloka fa'apipi'i .lzma ma .xz). O le mea e ofo ai, e le'i fa'aaogaina faila suega e suega! O le laina i le faila .m4 e fa'aofi ai se tusitusiga fa'alilolilo (e aofia i le tarball) e fa'atinoina i le fa'ai'uga o le configure pe a fetaui nisi o tulaga. E suia ai le Makefile mo le liblzma faletusi e aofia ai le code e aveese ai faʻamatalaga mai le faila .xz, lea e muta pe a uma ona faʻaitiitia le faʻalavelave i lenei tusitusiga, e fa'auluina i le fa'ai'uga o le configure. E filifili pe tatau ona suia le fa'agasologa o le fausiaina e fa'aofi ai le code: na'o lalo o le GCC ma le GCC linker, i lalo o le Debian po'o le rpm, ma na'o mo le x86_64 Linux. A fetaui, o le code ua fa'aofiina e taofia le fa'atinoina e ala i le suia o ni lua ifunc resolvers ina ia suia nisi o vala'au. O lenei mea e mafua ai ona fa'avasegaina laulau fa'ailoga i le manatua (e tele le taimi e alu ai, lea na mafua ai ona iloa, e pei ona fa'amatalaina mulimuli ane).

Ona amata lea ona manaia mea: E faʻapipiʻi e le backdoor se audit hook i totonu o le dynamic linker, e faʻatali mo le taunuʻu mai o le faʻailoga o le RSA_public_decrypt function, lea e toe faʻasino i se tulaga i totonu o le backdoor code, lea e toe valaʻau mai ai. libcrypto, e foliga mai e faatino ai le faʻamaoniga masani. Ma e faʻagaoioia le uta pe afai o le polokalama o loʻo faʻagaoioia e iai le igoa o le faagasologa /usr/sbin/sshd. Sa manino lava o 'au'aunaga SSH o le sini lea. E masani lava, ssh e le'i feso'ota'i 'au'aunaga e pei o le OpenSSH ma liblzma, ae o le sshd e masani ona fa'apipi'i e lagolago ai le systemd-notify ina ia mafai ona amata isi auaunaga pe a fa'agaoioia le sshd. Ona utaina lea o le liblzma e se auala lē tuusa'o e faatulagaga, tapunia le li'o.

E le'i mae'a ona iloiloina le faitoto'a i tua, ae foliga mai fa'atagaina le fa'atinoina o poloaiga mamao (RCE) faatasi ai ma avanoa o le sshd daemon, o loʻo faʻagaoioia i se tulaga aʻo leʻi faʻamaonia. O faʻamatalaga mai le tusi faʻamaonia mamao, pe a faʻafetaui e le faitotoʻa i tua, e faʻaliliuina i le ChaCha20, ma a manuia le faʻaliliuina e tuʻuina atu i le faiga(). O lea la o se RCE ua lokaina, e sili atu le leaga nai lo le na o se auala e fa'aitiitia ai le ki lautele. 

O se tarball mulimuli ane o le 5.6.1 na faʻaalia ai ni taumafaiga faʻaopoopo e natia ai faʻailoga, faʻaopoopoina ai le faʻalavelaveina o igoa o faʻailoga, ma taumafai e faʻasaʻo mea sese na vaʻaia. faiga fa'aopoopo sa fa'atulaga fo'i mea na su'eina ai faila fa'aopoopo mo ni saini patino e fa'aopoopo i le faitoto'a i tua.

E ono lē iloa atu lenei osofaʻiga faigata seʻia oʻo ina maua ni tufatufaina mautu o Linux. O le mea e lelei ai, e fiafia nisi tagata e siaki pe aiseā e tutupu ai mea e lē masani ai.