In den Bibliotheken des Datenkomprimierungsformats xz, den xz utils, wurde eine schwerwiegende Sicherheitslücke entdeckt. Betroffen sind die xz-Versionen 5.6.0 und 5.6.1.
Das universelle Datenkomprimierungsformat xz ist in fast jeder Linux-Distribution enthalten, sowohl in Community-Projekten als auch in kommerziellen Produktdistributionen. Im Wesentlichen hilft es bei der Komprimierung (und anschließenden Dekomprimierung) großer Dateiformate in kleinere, leichter zu handhabende Größen für die gemeinsame Nutzung durch Dateiübertragung, berichtet Red Hat.
Der Entwickler Andres Freund hatte vergangenen Freitag an die Source-Security-Mailingliste geschrieben, dass er in den letzten Wochen ein paar merkwürdige Symptome im Zusammenhang mit liblzma, einem Teil des xz-Pakets auf Debian-Sid-Installationen beobachtet habe. Darunter Logins mit SSH und einer großen CPU-Last und Valgrind-Fehler. Bei weiteren Recherchen habe er die Antwort gefunden. Das Upstream-xz-Repository und die xz-Tarballs seien mit einer Backdoor versehen worden. Nachdem er zuerst noch gedacht habe, dass es sich um ein kompromittiertes Debian-Paket habe sich herausgestellt, dass es sich tatsächlich um den Upstream handle.
Über die Backdoor lassen sich Systeme remote übernehmen, berichtet Freund. Und Unternehmen wie Red Hat warnen kurze Zeit später davor, Fedora Rawhide zu benutzen. Rawhide ist bei Fedora die Entwicklungsversion, Red Hat Enterprise Linux sei vom Problem nicht betroffen. Wie Red Hat dann noch mitteilt, sind unter Umständen auch Systeme mit Fedora 40 betroffen. Red Hat schreibt: „Wir haben festgestellt, dass Fedora Linux 40 beta zwei betroffene Versionen der xz-Bibliotheken enthält – xz-libs-5.6.0-1.fc40.x86_64.rpm und xz-libs-5.6.0-2.fc40.x86_64.rpm. Zum jetzigen Zeitpunkt scheint Fedora 40 Linux nicht von dem aktuellen Malware-Exploit betroffen zu sein, aber wir empfehlen allen Fedora 40 Linux Beta-Benutzern, zu den 5.4.x Versionen zurückzukehren.“
Was die Sicherheitslücke abmildert ist, wie bei Red Hat schon zu sehen, der Umstand, dass die aktuelle xz utils nur in den Testversionen der Distributionen auftauchen, wenn überhaupt. Neben Fedora Rawhide betrifft dies auch Debian Testing nebst Debian Unstable sowie Opensuse Tumbleweed. Die jeweiligen stabilen Ausgaben der Distributionen setzen meist ältere Versionen der xz utils ein.
Allerdings verwendet etwa Arch Linux die betroffenen Versionen von xz. Da Arch Linux allerdings openssh nicht direkt mit der liblzma-Bibliothek verlinke, sei der Angriffsvektor der Backdoor auf Arch Systemen nicht möglich, heißt es in den Arch Linux News. Dennoch sei es aus Gründen der Vorsicht angeraten, den bösartigen Code vom System zu entfernen, indem man ein Upgrade durchführe. Es könne sein, dass es andere, noch nicht entdeckte Methoden zur Ausnutzung der Hintertür gebe.
Bei den betroffenen Linux-Distributionen sollten inzwischen Updates zur Verfügung stehen. Die Spurensuche führt laut Berichten im Web zu einer Entwicklerin die unter dem Namen Jia Tan auftritt. Unter diesem Namen schaffte sie es bis zur Co-Maintainerin des Projekts xz utils, dessen Maintainer Lasse Collin über gesundheitliche Probleme geklagt hatte. In dieser Rolle scheint Jia Tan dann aktiv an der Einschleusung der Backdoor beteiligt gewesen zu sein, berichtet der Entwickler Evan Boehs, der den möglichen Hergang chronologisch aufbereitet hat.
