Red Hat, Debian Linux -jakelut välttävät tiukasti kriittisten SSH-takaovien toimittamisen

Laajasti käytetystä xz Utils -pakkauskirjastosta on löydetty kehittynyt takaovi, joka on suunniteltu heikentämään SSH-todennusta. Tietoturvatutkijat estivät mahdollisen toimitusketjukatastrofin, kun haitallinen koodi löydettiin Fedora Rawhiden ja Debianin testaus- ja kokeellisten haarojen betaversioista.

Äskettäin löysi xz Utils -pakkaustyökalun takaovella (versiot 5.6.0 ja 5.6.1) olisi voinut olla tuhoisia seurauksia Linux-jakeluille. Red Hatin ja Debianin valtavirran tuotantojulkaisut eivät vaikuttaneet, mutta beta-versiot olivat haavoittuvia. Vaikutus myös vakaaseen Arch Linux -julkaisuun, vaikka se on vähemmän yleinen tuotantoympäristöissä.

Tämä oikea-aikainen takaoven löytö esti laajat vahingot, mikä osoitti mahdollisen katastrofin, jos sen läsnäolo olisi jäänyt huomaamatta.

Takaovi, jonka esitteli pitkään luotettu xz Utils -kehittäjä, on erityisen salakavala. Se vaarantaa SSH:n käyttämän suojatun todennusprosessin, joka on tärkeä työkalu järjestelmän etäkäytössä Linux-ympäristöissä.

Yhteyden yhteydessä haittaohjelma sieppaa kriittistä koodia, jolloin hyökkääjät voivat ohittaa todennuksen ja saada luvattoman pääkäyttäjän oikeudet kohdistettuun järjestelmään.

Edelleen kehittyminen

• macOS Impact: Xz Utilsin vaarantunut versio 5.6.1 vaikutti useisiin Homebrew-paketinhallinnan sovelluksiin. Homebrew on sittemmin laskenut versioon 5.4.6.
• Jatkuvat kysymykset: Lisätutkimuksia tarvitaan, jotta voidaan selvittää takaoven ominaisuuksien täysi laajuus ja onko vanhemmat xz Utils -versiot vaarantuneet.

Kiireellisiä toimia suositellaan

• Tarkista jakelusi: Tarkista välittömästi, käyttääkö Linux-jakelussasi kyseisiä xz Utils -versioita. Ota yhteyttä jälleenmyyjään saadaksesi virallisia ohjeita.
• Havaitseminen ja lieventäminen: Havainnointikomentosarjat ovat saatavilla haavoittuvien järjestelmien tunnistamiseksi. Noudata jakelusi ohjeita korjataksesi mahdollisimman pian.

Tämä tapaus korostaa ohjelmistojen toimitusketjun haavoittuvuuksien vakavuutta ja jatkuvan valppauden tärkeyttä avoimen lähdekoodin yhteisössä.