SSH ti o wa ni ẹhin ilekun
Ẹni tí ó ní ìwà burúkú tàbí aláìlera kan fi ìwà burúkú sí inú ìkàwé kan tí a dárúkọ fún orúkọ rẹ̀ liblzma, apakan ti awọn irinṣẹ funmorawon xz ati awọn ile-ikawe, ti o yori si ilẹkun ẹhin ni SSH. Eyi jẹ ikọlu ipese ẹwọn sọfitiwia ti ilọsiwaju bi a ṣe ṣe atunṣe ile-ikawe fun ilẹkun ẹhin, pẹlu awọn ọna fifin ati awọn ọna aṣiri pamọ fun fifi ẹru ikọlu naa pamọ kuro lọwọ awọn oluyẹwo.
Wọ́n ṣàwárí rẹ̀, wọ́n sì tú u jáde láìpẹ́ yìí (ní ọjọ́ kọkàndínlọ́gbọ̀n oṣù kẹta), ìtọ́jú ìkọlù náà sì ń bá a lọ. Síbẹ̀síbẹ̀, wọ́n yára dènà rẹ̀ nítorí pé ó dàbí ẹni pé ó ní ipa lórí àwọn àtúnṣe ṣáájú ìtújáde ti àwọn àyíká díẹ̀ (àwọn ìdìpọ̀ DEB àti RPM, fún ètò ìkọ́lé x86_64, tí a sì fi GCC kọ́ ọ). CVE a fun ni Àmì ìpìlẹ̀ CVSS ti 10, eyi ti a fi pamọ fun awọn ipalara aabo aabo ayelujara ti o ṣe pataki julọ. Ti o ba wọ inu pinpin ti o duro ṣinṣin, ipa naa yoo tobi pupọ.
Ìwádìí ìmọ̀ ẹ̀rọ nípa ìkọlù náà, títí kan alaye ilẹkun ẹhin xz ni ijinle, ni a ṣe àgbéyẹ̀wò níbòmíràn. Ìfiránṣẹ́ yìí yóò dojúkọ àkókò ìkọlù náà, bí a ṣe lè ṣàwárí rẹ̀, bí a ṣe bójútó ìṣẹ̀lẹ̀ náà títí di òní, àti àwọn ẹ̀kọ́ tí a lè rí nínú ìkọlù náà.
Ìrù gígùn ti ilẹ̀kùn ẹ̀yìn ti tẹ̀síwájú ju ìgbà àkọ́kọ́ lọ. Ní oṣù kẹjọ ọdún 2025, ní ọdún kan lẹ́yìn tí wọ́n tú CVE-2024-3094 jáde, àwọn olùwádìí ààbò ní Binarly rí i pé ilẹ̀kùn ẹ̀yìn ṣì wà nínú àwọn àwòrán Debian Docker méjìlá tí wọ́n tẹ̀ jáde lórí Docker Hub, pẹ̀lú ẹgbẹ́ Debian tí kò fẹ́ yọ wọ́n kúrò, wọ́n sì kà wọ́n sí ohun ìṣẹ̀dá ìtàn dípò ewu tó ń ṣẹlẹ̀. Lọ́tọ̀ọ̀tọ̀, OpenSSF àti OpenJS ṣe ìkìlọ̀ àpapọ̀ ní kété lẹ́yìn ìṣẹ̀lẹ̀ XZ pé irú ìgbìyànjú gbígbà agbára ìbánisọ̀rọ̀pọ̀ bẹ́ẹ̀ ti fojú sí àwọn iṣẹ́ JavaScript, èyí tí ó fihàn pé a ń tún lo ìlànà ìkọlù olùtọ́jú-ìgbẹ́kẹ̀lé tí a lò níbí níbòmíràn.
Báwo ni wọ́n ṣe fi ìfúnpọ̀ sí ẹnu ọ̀nà ẹ̀yìn XZ
Akiyesi: Ibi ipamọ git wa ninu git.tukaani.org. Sibẹsibẹ, nibẹ tun wa Ibi ipamọ ti GitHub gbalejo (tí a ti dí lọ́wọ́lọ́wọ́) níbi tí àkọọ́lẹ̀ GitHub ti ń fi àwọn àyípadà tí a fi sínú ibi ìpamọ́ Git sílẹ̀ lẹ́yìn náà hàn.
Apá kan ti ilẹkun ẹhin dabi pe o wa ninu awọn tarballs ti a pin fun awọn ẹya 5.6.0 ati 5.6.1 nikan, kii ṣe ninu awọn ibi ipamọ git ati pe o gbẹkẹle a ìlà kan ṣoṣo nínú build-to-host.m4 fáìlì mákró tí autoconf lò. Apá kejì wà nínú àwọn testfiles méjì tí a rò pé bad-3-corrupt_lzma2.xz ati ti o dara-large_compressed.lzma
ti o wà commitTed láti ọwọ́ àkọọ́lẹ̀ GitHub “Jia Tan” (JiaT75) nínú ibi ipamọ xz ní ọjọ́ kẹtàlélógún oṣù kejì. Ó jẹ́ àyípadà aláìléwu tí a fi àwọn testfiles kún (tí a gbà pé .lzma àti .xz compressed blocks ni). Ó yani lẹ́nu pé àwọn ìdánwò náà kò lo àwọn fáìlì ìdánwò náà! Ìlà inú fáìlì .m4 fi ìwé àfọwọ́kọ tí a ti bò (tí a fi sínú tarball) sínú láti ṣe ní ìparí ìṣètò tí àwọn ipò kan bá báramu. Ó ṣe àtúnṣe sí Makefile fún liblzma láti ní kódù tó máa ń yọ dátà kúrò nínú fáìlì .xz, èyí tó máa parí lẹ́yìn ìtúpalẹ̀ nínú ìwé àfọwọ́kọ yìí, ni a pè ní ìparí ìṣètò. Ó pinnu bóyá kí ó ṣe àtúnṣe sí ìlànà ìkọ́lé láti fi kódù sí i: lábẹ́ GCC àti ìjápọ̀ GCC nìkan, lábẹ́ Debian tàbí rpm, àti fún x86_64 Linux nìkan. Nígbà tí a bá bá a mu, kódù tí a fi sí i máa ń dá ìṣiṣẹ́ dúró nípa fífi méjì sí ipò mìíràn. ifunc àwọn olùpinnu kí a lè rọ́pò àwọn ìpè kan. Èyí máa ń mú kí a ṣàyẹ̀wò àwọn tábìlì àmì náà nínú ìrántí (èyí gba àkókò, èyí sì yọrí sí wíwá nǹkan náà, gẹ́gẹ́ bí a ti ṣàlàyé rẹ̀ lẹ́yìn náà).
Lẹ́yìn náà ni nǹkan yóò wá dùn mọ́ni: Ìlẹ̀kùn ẹ̀yìn náà fi ìkọ̀kọ̀ àyẹ̀wò sínú ìjápọ̀ oníná, ó ń dúró de àmì iṣẹ́ RSA_public_decrypt láti dé, èyí tí a óò darí sí ojú kan nínú kódì ìlẹ̀kùn ẹ̀yìn, èyí tí yóò sì tún pe padà. libcrypto, ó ṣeé ṣe kí ó jẹ́ láti ṣe ìjẹ́rìí déédé. Àti pé ẹrù iṣẹ́ náà yóò ṣiṣẹ́ tí ètò ìṣiṣẹ́ náà bá ní orúkọ ìlànà náà /usr/sbin/sshdÓ ṣe kedere pé àwọn olupin SSH ni a ń fojúsùn sí. ssh àwọn olupin bíi OpenSSH kò ní ìsopọ̀ mọ́ liblzma, ṣùgbọ́n sshd ni nigbagbogbo a ṣe àtúnṣe láti ṣe àtìlẹ́yìn fún systemd-notify kí àwọn iṣẹ́ míràn lè bẹ̀rẹ̀ nígbà tí sshd bá ń ṣiṣẹ́. Lẹ́yìn náà, a máa fi liblzma sínú rẹ̀ láìtaara nípasẹ̀ eto eto, pípa àyíká náà.
A kò tíì ṣe àgbéyẹ̀wò gbogbo ìlẹ̀kùn ẹ̀yìn ilé náà, ṣùgbọ́n ó dàbí pé ó rí bẹ́ẹ̀ gbigba pipaṣẹ latọna jijin laaye (RCE) pẹlu awọn anfani ti sshd daemon, tí ó ń ṣiṣẹ́ ní ipò ìjẹ́rìísí ṣáájú. Ìwífún láti inú ìwé ẹ̀rí ìjìnnà, nígbà tí a bá so mọ́ ẹnu ọ̀nà ẹ̀yìn, a máa ń yí ìwífún padà pẹ̀lú ChaCha20, nígbà tí ó bá sì yí ìwífún padà ní àṣeyọrí a máa fi ránṣẹ́ sí i. ètò()Nítorí náà, èyí jẹ́ RCE tí a fi ẹnu bo, ó burú ju bọ́ọ̀dì gbogbogbòò lásán lọ.
Bọ́ọ̀lù ìtàgé 5.6.1 tó tẹ̀lé e fi àwọn ìsapá mìíràn hàn láti fi àwọn àmì náà pamọ́, ó fi kún ìbòjú àwọn orúkọ àmì náà, ó sì gbìyànjú láti ṣàtúnṣe àwọn àṣìṣe tí a rí. itẹsiwaju siseto níbi tí wọ́n ti ń wá àwọn fáìlì ìdánwò afikún fún àwọn ìfọwọ́sowọ́pọ̀ kan láti fi kún ilẹ̀kùn ẹ̀yìn ni wọ́n tún fi sí ipò wọn.
Ìkọlù onípele tó ga jùlọ yìí lè má ṣe kedere títí tí a ó fi dé àwọn ìpínkiri Linux tó dúró ṣinṣin. Ó ṣe tán, àwọn ènìyàn kan máa ń fẹ́ láti ṣàyẹ̀wò ìdí tí àwọn nǹkan àìdáa fi ń ṣẹlẹ̀.
Àwárí ìkọlù ẹ̀yìn XZ
Lọ́pọ̀ ìgbà, ìwà burúkú tí a fi abẹ́rẹ́ ṣe ni a máa ń rí nípasẹ̀ àìròtẹ́lẹ̀ tàbí àìròtẹ́lẹ̀. Àpẹẹrẹ rere kan ni ìkìlọ̀ ìdínkù owó (“Ta ló bìkítà nípa ìkìlọ̀?”) tó yọrí sí àwárí ìkọlù ìṣẹlẹ-ìṣàn ní oṣù kẹwàá ọdún 2018. Òmíràn ni olùlò tó kìlọ̀ Codecov ní oṣù kẹrin ọdún 2021 pé ìwé àkọsílẹ̀ bash wọn kò kọjá checksum (“Ta ló ń fi checksums wádìí ìwà títọ́ àwọn ohun èlò”?) Àwọn Àìdámọ̀ràn àti àwọn àmì àìdámọ̀ pẹ̀lú ssh logins (logins mu ọpọlọpọ CPU ati pe akoko ti o ti kọja pọ si, awọn aṣiṣe valgrind) ru ifẹ ti Andres Freund, olùgbékalẹ̀ PostgreSQL tí ó ń ṣọ́ra ṣùgbọ́n kì í ṣe olùṣàyẹ̀wò ààbò (gẹ́gẹ́ bí ó ti sọLẹ́yìn ìwádìí díẹ̀ pẹ̀lú OpenSSH lórí Debian Sid, ó parí èrò sí pé ìṣòro àkókò ìdáhùn kan sinmi lórí ìkàwé kan, liblzma, apakan ti xz-ohun elo ìkàwé ìfúnpọ̀. Ìdí náà: “ibi ìpamọ́ xz tó wà ní òkè àti àwọn tarballs xz ni a ti fi sí ẹ̀yìn ilé náà“Àyẹ̀wò yìí péye gan-an ni!” Ní ọjọ́ kọkàndínlọ́gbọ̀n oṣù kẹta ọdún 2024, Andres fi ìṣàyẹ̀wò àkọ́kọ́ sí Openwall: “ìlẹ̀kùn ẹ̀yìn ní òkè xz/liblzma tí ó yọrí sí ìforígbárí olupin ssh“Òtítọ́ náà ni pé: XZ Utils 5.6.0 àti 5.6.1 tarballs ní ilẹ̀kùn ẹ̀yìn. Àkọọ́lẹ̀ Jia Tan tí a mẹ́nu kàn lókè yìí ló ṣẹ̀dá tí wọ́n sì fọwọ́ sí i. He ti a fiweranṣẹ ni Mastodon Lẹ́yìn ọjọ́ náà, mo mọ̀ pé àwárí náà jẹ́ àìròtẹ́lẹ̀ àti pé ó nílò ọ̀pọ̀lọpọ̀ ìṣẹ̀lẹ̀ àìròtẹ́lẹ̀. Àwọn ọ̀rọ̀ láti ọ̀dọ̀ àwọn olùlò mìíràn yẹ kí a kà. Olùlò GitHub kannasam (tí a mọ̀ sí Sam James) ṣe àtẹ̀jáde Gist tó dára kan Awọn ibeere ti a beere nigbagbogbo lori ilẹkun ẹhin xz-utils níbi tí wọ́n ti ṣe àkópọ̀ ìkọlù náà, tí ó so mọ́ àwọn nǹkan míìrán àwọn àtúpalẹ̀ tó jinlẹ̀ ti ẹrù ikọlu naa. Àwọn ìwádìí wọ̀nyí ní ìrísí tó jinlẹ̀, wọ́n sì ràn wá lọ́wọ́ láti lóye abẹ́rẹ́ náà dáadáa, èyí tí a ṣàlàyé rẹ̀ dáadáa:- xz/liblzma: Àlàyé Ìbòjú-ìpele BashÀgbéyẹ̀wò tó dára lórí ìtúpalẹ̀ ìfọ́mọ́ra nípasẹ̀ ìwé abẹ́rẹ́, ní “ìpele” mẹ́rin.
- Ìfọ̀rọ̀wérọ̀ bluesky ti Filippo Valsorda Ìṣàyẹ̀wò ẹnu ọ̀nà ìtajà fúnrarẹ̀ nínú RSA_public_decrypt, èyí tí ó fi ìrísí rẹ̀ hàn: RCE kan, kìí ṣe auth bypass, àti gated (ó gba kọ́kọ́rọ́ ìkọ̀kọ̀ òǹkọ̀wé náà, tí kò bá sì rí bẹ́ẹ̀, ó padà sí ìwà déédéé) / tí a kò lè san padà. Òǹkọ̀wé náà ní èrò láti lọ sílẹ̀ kí ó má baà rí i!
- Ìwádìí XZ ní ẹ̀yìn ilé láti ọwọ́ @smx-smx (WIP) – Àfikún ìwádìí ti ilẹ̀kùn ẹ̀yìn (Mo ti sọnù ní ìbẹ̀rẹ̀ 😀)
- ìwé ìlẹ̀kùn ìlẹ̀kùn xz wiki, ìṣàyẹ̀wò mìíràn ti ìwé àtẹ̀jáde abẹ́rẹ́ 5.6.1.
Báwo ni wọ́n ṣe bójútó ìṣẹ̀lẹ̀ náà
Ìṣípayá láti ọwọ́ Andreas Freund jẹ́ ohun ìṣọ́ra nítorí, ní ọ̀rọ̀ tirẹ̀:“Nítorí bí ó ṣe hàn gbangba pé mo ń kópa ní òkè òkun, mi ò tíì ròyìn àṣìṣe kan ní òkè òkun. Nítorí pé mo kọ́kọ́ rò pé ó jẹ́ ìṣòro kan pàtó nípa debian, mo fi ìròyìn àkọ́kọ́ ránṣẹ́ sí security@...ian.org. Lẹ́yìn náà, mo ròyìn ìṣòro náà sí distros@. CISWọ́n fi ìròyìn nípa ìpínkiri kan tó ń lọ lọ́wọ́.
Ta ló wà lábẹ́ ìkọlù náà?
Yálà àkọọ́lẹ̀ GitHub JiaT75 ni wọ́n ti bàjẹ́ (rántí pé GitHub pàṣẹ fún 2FA láìpẹ́ yìí) tàbí olùlò tí ó jẹ ẹ́ ní gbèsè àkọọ́lẹ̀ náà lọ sí apá búburú. Ṣùgbọ́n àwọn ìdí pàtàkì wà láti ronú nípa ìhalẹ̀mọ́ni tí ó ti ń tẹ̀síwájú (APT), bóyá ti ìjọba ń tì lẹ́yìn, nítorí ìmọ̀ ẹ̀rọ ìkọlù náà. Ìwádìí síwájú láti ọ̀dọ̀ àwọn ilé iṣẹ́ ààbò ààbò àti àwọn ọlọ́pàá yóò sọ fún… Yi titẹsi nínú YCombinator Hacker Àwọn ìròyìn nípa Jia Tan Ó tan ìmọ́lẹ̀ díẹ̀ sí “ẹni tí” àti ìgbòkègbodò rẹ̀. A gbani nímọ̀ràn! Ó fúnni ní ọ̀pọ̀ ìwífún nípa bí àwọn ènìyàn búburú ṣe ń gbìyànjú láti tan àwọn olùlò mìíràn jẹ, nípa lílo ìmọ̀ ẹ̀rọ àwùjọ.“Ó bani nínú jẹ́ gan-an - ẹni tó hàn gbangba pé ó kọ ìlẹ̀kùn ẹ̀yìn ilé náà ti ń bá mi sọ̀rọ̀ fún ọ̀sẹ̀ mélòókan láti fi xz 5.6.x kún Fedora 40 & 41 nítorí “àwọn ohun tuntun tó dára”. A tiẹ̀ bá a ṣiṣẹ́ láti yanjú ìṣòro valgrind (èyí tó wá di pé ìlẹ̀kùn ẹ̀yìn ilé náà ló fà á báyìí). A ní láti sáré ní alẹ́ àná láti yanjú ìṣòro náà lẹ́yìn ìdènà tí wọ́n fi sí i láìmọ̀ọ́mọ̀. Ó ti jẹ́ ara iṣẹ́ xz fún ọdún méjì, ó ń fi gbogbo onírúurú fáìlì ìdánwò aláwọ̀ méjì kún un, láti sọ òótọ́ nípa ìpele ìmọ̀ yìí, mo máa fura sí àwọn ẹ̀yà xz àtijọ́ títí di ìgbà tí wọ́n bá fi hàn pé ó yàtọ̀ sí èyí.”
Jia Tan gbé àwọn ìgbésẹ̀ láti dènà ìtọ́pasẹ̀: Ó dà bíi pé ó ti lo VPN (vpn.singapore.witopia.net) láti sopọ̀ mọ́ ara wọn - èyí tí ó dára fún ara rẹ̀. Ọ̀pọ̀lọpọ̀ àwọn àyípadà sì dàbí pé àwọn ìmeeli ìgbà kan ṣoṣo (láti ọ̀dọ̀ ProtonMail nínú ọ̀ràn yìí) tí wọ́n ń rọni láti da àwọn àyípadà pọ̀ ló ń tì í lẹ́yìn.
Oṣere naa le ni ero lati lọ siwaju sii jinle, si kernel Linux, gẹgẹbi oluranlọwọ si tí a fi xy sí iṣẹ́ akanṣe. Àyẹ̀wò àkọ́kọ́ kò rí ẹ̀rí pé ìṣẹ́yún ń ṣẹlẹ̀, títí di òní.
Akiyesi: miiran Olùkópa XZ onípele kékeré “Hans Jansen” (Olùlò GitHub “hansjans162”) ni labẹ ayewoÀkọọ́lẹ̀ rẹ̀ ní debian ti di báyìí ti dinaÓ ṣe ọ̀pọ̀lọpọ̀ àtúnṣe sí Debian Games láti fi èyí tí ó fẹ́ pamọ́ lórí debian/xz-utils, àtúnṣe sí òkè 5.6.1 láti yára pínpín ilẹ̀kùn ẹ̀yìn sí debian/aláìdúróṣinṣin.
Gbogbo ohun tí a lè sọ, fún ìsinsìnyí, ni pé èyí jẹ́ APT (tí a kò tí ì mọ̀) tí ó ń lo àwọn àkọọ́lẹ̀ ọ̀tọ̀ọ̀tọ̀, tí ó ń ṣiṣẹ́ fún ó kéré tán ọdún méjì lórí ìpolongo yìí, tí ó sì ń fi sùúrù ṣiṣẹ́ láti fi RCE sínú SSH.
Ní báyìí tí a ti ń kọ ọ́, a kò tíì rí ẹ̀rí ìdámọ̀ tó wà lẹ́yìn “Jia Tan”. Kò sí ẹ̀rí tó ṣeé gbẹ́kẹ̀lé kankan fún ẹnì kan pàtó, àjọ, tàbí olùṣe ìpínlẹ̀ kan, èyí tó fi hàn gbangba pé ìlànà iṣẹ́ ẹni náà gbéṣẹ́.
Ṣé ìkọlù ẹ̀yìn XZ ṣeé dènà?
Díẹ̀ ṣòro.
Àkọ́kọ́, apá kan lára ilẹ̀kùn ẹ̀yìn tí a fún ni wá sínú àwọn fáìlì ìdánwò tí a fún ni tí àwọn ìdánwò kò lò. Ní àfikún, èyí lè mú kí àwọn ìkìlọ̀ (tí ń dún kíkankíkan) dìde, ṣùgbọ́n ta ló bìkítà nípa ṣíṣàyẹ̀wò pé gbogbo àwọn fáìlì ìdánwò ni àwọn ìdánwò gidi ń lò ní ayé gidi? Èkejì, apá kan ilẹ̀kùn ẹ̀yìn tí a fún ni wá sínú àwọn fáìlì macro sínú àwọn tarball tí a fún ni, ó sì ṣòro láti ṣàyẹ̀wò pẹ̀lú ọwọ́ fún àwọn ìyàtọ̀ pẹ̀lú àwọn tarball tí a retí. Àdáṣiṣẹ́ tún jẹ́ ohun tí ó díjú, nítorí pé ó ṣòro láti ṣe àbájáde tí a retí láti inú kọ́ fúnra rẹ̀ (fún ẹnikẹ́ni tí ó mọ bí automake/autoconf ṣe ń ṣiṣẹ́) ó ṣòro láti ṣe àpẹẹrẹ fún ṣíṣàyẹ̀wò bóyá tarball gidi bá àwọn ohun tí a retí mu. Àwọn kan gbé e kalẹ̀ as “Àwọn tarballs tí kò bá igi git mu jẹ́ àmì pàtàkì, kì í ṣe àṣìṣe”Ìbẹ̀rẹ̀ àwọn tarballs binary láti inú kódù orísun rẹ̀ jẹ́ ìṣòro tí a kò tíì yanjú.
Orúkọ rere olùlò? Ó dára, àkọọ́lẹ̀ GitHub JiaTan75 kò ṣe àwọn nǹkan búburú gẹ́gẹ́ bí ìgbà àtijọ́. commits. Wọ́n dá a dúró lẹ́yìn tí ẹ̀rí náà ti kó jọ tán, ṣùgbọ́n títí di ọjọ́ 29 oṣù kẹta, ó jẹ́ ẹni tí ó ń lo déédé tí ó ń ṣe iṣẹ́ déédé. Ó dára, kì í ṣe déédé. Lẹ́yìn náà, commits (yi, yi, yi, Ati yi èyí tí ó ṣe àtúnṣe sí koodu ìlòkúlò) gbìyànjú láti ṣàtúnṣe àwọn àṣìṣe valgrind àti ìkọlù nínú àwọn ìṣètò kan, nítorí àwọn ìyàtọ̀ pẹ̀lú ìṣètò stack tí a retí láti ọ̀dọ̀ àwọn ẹnu ọ̀nà ẹ̀yìn. Commit Àwọn àtúnyẹ̀wò lè ṣàwárí èyí, ṣùgbọ́n ta ní sùúrù láti ṣàyẹ̀wò àwọn àyípadà nínú fáìlì ìdánwò aláròjinlẹ̀ tàbí ìdí gidi fún ìyípadà nínú àwọn ànímọ́ GCC nínú kódì orísun C?
Ó yẹ kí ẹnìkan gbé àwọn ìkìlọ̀ sókè nígbà tí SSH bá wà login Ó ń gba 800 ms dípò 300 ms? Ó ṣeé ṣe kí àwọn onímọ̀lára lásán nìkan ló máa kíyèsí. Cicero sọ pé, “Ìwà ọ̀dájú jẹ́ ti ìgbà èwe; ọgbọ́n ni fún ọjọ́ ogbó.”
Wọ́n fi àwọn ètò ìpèsè ìfunc kún un ní oṣù kẹfà ọdún 2023 láti ọwọ́ “Hans Jansen” àti “Jia Tan”. Èyí ni àkọ́kọ́ commit fifi atilẹyin ifunc kun crc64_fast.c (a maa lo lati fi ilẹkun ẹhin sinu awọn faili idanwo naa nigbamii). Osu diẹ ṣaaju ki a to fi ilẹkun ẹhin sinu awọn faili idanwo naa!
Àkíyèsí: Òǹkọ̀wé àti commitÀwọn méjèèjì yàtọ̀ síra níbí, ṣùgbọ́n èyí jẹ́ ohun tó wọ́pọ̀: Lasse Collin ni olùtọ́jú iṣẹ́ náà, ó sì da àwọn àtúnṣe náà pọ̀. Ó tilẹ̀ dúpẹ́ lọ́wọ́ “Hans Jansen” …
Kò sí ẹni tó gbé ìbéèrè dìde kí ó tó fi Andres Freund àti CVE tí RedHat ṣe. Tí o bá rí ọ̀pọ̀lọpọ̀ irinṣẹ́ tó lè mú èyí wá, wọ́n á rí ohun tó ní í ṣe pẹ̀lú rẹ̀ báyìí. Mofi post facto.
Ó ṣeé ṣe kí ìdènà tó dára jùlọ wá láti inú ìwà ìpínkiri Linux, àti bí àwọn ẹ̀yà tí kò dúró ṣinṣin, tí ó ní ẹ̀gbẹ́ ẹ̀jẹ̀ ṣe ń kọjá lọ sí ìpínkiri tí ó dúró ṣinṣin lẹ́yìn ìlànà tí ó lọ́ra.
Àwọn Ẹ̀kọ́ Tí A Kọ́ Láti Inú Ìkọlù Ẹ̀yìn XZ b
A ti ṣe akiyesi bi o ṣe nira lati ṣawari intentional Àwọn ilẹ̀kùn ẹ̀yìn. Ó yẹ kí a kà àwọn ilẹ̀kùn ẹ̀yìn sí ewu inú, nítorí pé àwọn òṣìṣẹ́ inú tàbí àwọn àkọọ́lẹ̀ inú tí wọ́n ti bàjẹ́ ló máa ń gbìn wọ́n. Àwọn ènìyàn wọ̀nyẹn sì ni a gbẹ́kẹ̀lé jùlọ. Nígbà tí a bá sì fi ilẹ̀kùn ẹ̀yìn sínú ohun ìṣẹ̀ǹbáyé tí a pín káàkiri, ó máa ń ṣòro láti rí i.
Àwọn òǹkọ̀wé bíi Kevin Beaumont tokasi ni eto, èyí tí ó ṣí ojú ìkọlù ńlá ti àwọn iṣẹ́ ẹ̀kẹta sí ẹ̀yìn ilé. Èyí ni ohun tí òṣèré burúkú náà lò níbí. Systemd ní ọ̀pọ̀lọpọ̀ ojú, ṣùgbọ́n XZ jẹ́ ibi ìkówèésí tí kò ṣe kedere ní òkè ẹ̀wọ̀n náà. “Nígbà tí òkè bá ní àbàwọ́n, gbogbo ènìyàn ló ń mu omi olóró ní ìsàlẹ̀ odò”.
Ìbéèrè ìyípadà tí kò ní ìbáṣepọ̀ nínú ètò náà fún n gbe awọn ile-ikawe funmorawon ṣiṣẹ ni agbara, èyí tí yóò mú ìlẹ̀kùn ẹ̀yìn kúrò, ti para pọ̀ mọ́ ètò náà tẹ́lẹ̀ ṣùgbọ́n a kò tíì fi ránṣẹ́ síbẹ̀. Àwọn ìgbẹ́kẹ̀lé afikún tí libsystemd ṣe àgbékalẹ̀ le jẹ́ orísun àwọn àìlera, àti àná ìbéèrè yìí ni a ṣí sílẹ̀.
A comment nínú “xz: Mú ifunc kúrò láti yanjú ìṣòro náà” commit fún wa ní òye tó jinlẹ̀ nípa ibi tí a gbọ́dọ̀ fi àfiyèsí sí tí a bá fẹ́ dènà irú ìgbòkègbodò bẹ́ẹ̀ (èmi ni mo tẹnu mọ́):
“Ẹ̀kọ́ tí ó yẹ kí a kọ́ gẹ́gẹ́ bí àwùjọ jẹ́ ohun tó dára jù láti ní ààbò.” software supply chain security Ní gbogbogbòò, ṣíṣe àyẹ̀wò àwọn ètò ìkọ́lé ju kódì orísun nìkan lọ. Bí ìrúfin SolarWinds níbi tí àwọn olùkọlù ti ṣe àtúnṣe àwọn àtúnṣe sọ́fítíwè fún ìpèsè sọ́fítíwè ìṣàyẹ̀wò orísun pípa ti SolarWinds.”
FAQ
Ǹjẹ́ ìlẹ̀kùn ẹ̀yìn XZ ṣì jẹ́ ewu lónìí?
Ọ̀pọ̀lọpọ̀ nǹkan ló wà níbẹ̀, àmọ́ wọn kò tíì parẹ́ pátápátá. Ní oṣù kẹjọ ọdún 2025, àwọn olùwádìí rí i pé ìlẹ̀kùn ẹ̀yìn ilé ṣì wà nínú ọ̀pọ̀lọpọ̀ àwòrán Debian Docker Hub, tí Debian kà sí ohun ìṣẹ̀ǹbáyé ìtàn tí kò ṣiṣẹ́. Àwọn ẹgbẹ́ gbọ́dọ̀ fìdí rẹ̀ múlẹ̀ pé wọn kò kọ́lé lórí àwọn àwòrán ìpìlẹ̀ àtijọ́, tí kò ní àtúnṣe dípò kí wọ́n rò pé àtúnṣe ọdún 2024 ti ilẹ̀kùn náà tán pátápátá.
